|
|
Julkaistu 15.8.2017 21.08.39
|
|
|
Olen astunut tähän kuoppaan ennenkin. Olen unohtanut, miten harjoitellaan, mutta muistan silti tämän periaatteen. Selitä karkeasti tarkemmin:
Selaimen asennuspaketti tallentaa osan juurivarmenteista (julkisista avaimista), joihin se luotetaan.
Turvallisuuden vuoksi varmenteen myöntäjät tallentavat yleensä näiden juurivarmenteiden yksityisavaimet täysin erilliseen holviin. Näitä juuriavaimia käytetään holvissa joidenkin "välimuotoisten" sertifikaattien myöntämiseen, ja näiden välivarmenteiden yksityisavaimilla on valtuudet myöntää seuraavan tason sertifikaatti. Nämä väliaikaiset yksityisavaimet asennetaan verkkopalvelimille, jotta voidaan ansaita rahaa myöntämällä verkkosivuston sertifikaatteja. Kun nämä palvelimet on hakkeroitu, julkaisija voi antaa peruutusmääräyksen käyttäen fyysisesti eristettyä juurisertifikaatin yksityistä avainta holvissa, jolloin näiden välivarmenteiden luottamus poistuu ilman, että julkaisijan juurivarmenteeseen tarvitsee täysin epäluottamusta. Allekirjoita uusi välivaiheen myöntämistodistus, niin olet hyvä mies, joka voi tienata rahaa.
Tässä tulee kysymys.
Selain tunnistaa vain juurisertifikaatin. Välitodistuksen sertifiointia varten sinun (verkkosivuston) täytyy myöntää oma todistus.
Oikein konfiguroidun HTTPS-verkkosivuston tulisi sisältää koko varmenneketju varmenteeseen.
Esimerkiksi käytä openssl-komentoa s_client -connect www.wosign.com:443 nähdäksesi Wosignin oman verkkosivuston asetukset.
Loput sisällöstä voi jättää huomiotta, katso vain Certificate chain -kappaletta:
---
Sertifikaattiketju
0 s:/1.3.6.1.4.1.311.60.2.1.3=CN/1.3.6.1.4.1.311.60.2.1.2=Guangdong/1.3.6.1.4.1.311.60.2.1.1=Shenzhen/businessCategory=Yksityinen Organisaatio/sarjanumero=440301103308619/C=CN/ST=\xE5\xB9\xBF\xE4\xB8\x9C\xE7\x9C\x81/L=\xE6\xB7\xB1\xE5\x9C\xB3\xE5\xB8\x82/postinumero=518067/katu=\xE6\xB7\xB1\ xE5\x9C\xB3\xE5\xB8\x82\xE5\x97\xD\x97\xE5\xB1\xB1\xE5\x8C\xBA\xE5\x8D\x97\xE6\xB5\xB7\xE5\xA4\xA7\xE9\x81\x931057\xE5\x8F\xB7\xE7\xA7\x91\xE6\x8A\x80\xE5\xA4\xA7\xE5\ x8E\xA6\xE4\xBA\x8C\xE6\x9C\x9FA\xE6\xA0\x8B502#/O=WoSign\xE6\xB2\x83\xE9\x80\x9A\xE7\x94\xB5\xE5\xAD\x90\xA4\xE8\xAF\x81\xE6\x9C\x8D\xE5\x8A\xA1\xE6\x9C\x89\ xE9\x99\x90\xE5\x85\xAC\xE5\x8F\xB8/CN=www.wosign.com
i:/C=CN/O=WoSign CA Limited/CN=WoSign Class 4 EV Server CA
1 s:/C=CN/O=WoSign CA Limited/CN=WoSign Class 4 EV Server CA
i:/C=CN/O=WoSign CA Limited/CN=WoSignin sertifiointivirallinen
2 s:/C=CN/O=WoSign CA Limited/CN=WoSignin sertifiointivirallinen
i:/C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom-sertifiointiviranomainen
---
0, 1 ja 2 ovat kunkin sertifikaatin tason sarjanumerot varmenneketjussa. 0 on varmenne, jota verkkosivusto käyttää tarkistettavaksi. Sen CN:n tulisi vastata verkkosivuston verkkotunnusta.
Jokaisen sarjanumeron jälkeen s-kirjaimella alkava rivi viittaa varmenteeseen, ja i-kirjaimella alkava rivi osoittaa todistuksen myöntäjää.
On nähtävissä, että CN 0 sisältää epäillyn kiinalaisen verkkotunnuksen ja englanninkielisen verkkotunnuksen www.wosign.com. Sen myöntää WoSign CA Limited/CN=WoSign Class 4 EV Server CA.
Sertifikaatti 1 on 0:n myöntäjä. 1 itsessään myönnetään toisen sertifikaatin, WoSignin sertifiointiviranomaisen, toimesta.
Katsotaanpa seuraavaa tasoa, 2. Siinä sanotaan, että WoSignin sertifiointivaltuuden myöntää StartCom (haha, se osoittautuu alihankkijaksi!). ）
Kun katsoin asiaa tällä tasolla, selain sanoo, että tiedän kakkosnumeron myöntäjän, ja se mainitaan asennuspaketissa, StartComissa. Oikea allekirjoitus ja vahvistus, joten luota kahteen. Sitten sinun tulisi myös luottaa 1:een, jonka on myöntänyt 2, ja 0:aan, jonka on myöntänyt 1. Joten tähän sivustoon voi luottaa.
－－
Jos verkkosivusto on kuitenkin konfiguroitu sisältämään CRT-tiedostossa vain itsensä eikä varmenneketjua, joka on tarpeeksi kattava selaimen sisäänrakennetun datan varmennettavaksi, selain voi hylätä sen. Mitä esimerkiksi.
openssl s_client -connect touko.moe:443
---
Sertifikaattiketju
0 s:/CN=touko.moe
i:/C=CN/O=WoSign CA Limited/CN=WoSign CA Ilmainen SSL-sertifikaatti G2
---
Yhdessä ryhmässä on vain 0. Kuvaus Touko.moe rivissä s on myönnetty WoSign CA:n toimesta, ilmainen SSL-sertifikaatti G2 rivissä i. Se on poissa.
Tässä sudenkuopassa on kaikkein hämmästyttävintä: ei aina pidä paikkaansa, epäonnistuuko selain tässä vaiheessa. On kaksi tilannetta:
V. En ole koskaan nähnyt tällaista sen jälkeen, kun selain asennettiin. Sitten validointi epäonnistuu.
B. Jos selain on nähnyt ja vahvistanut i:n aiemmin, vahvistus onnistuu.
Yleensä ylläpitäjä menee varmenteen myöntäjän https-sivustolle ostaakseen varmenteen, ja selain varmistaa sen, minkä jälkeen välimuistiin tallennetaan kaikki onnistuneesti varmennetut välivarmenteet, mikä säästää aikaa tulevaisuudessa. Kun ylläpitäjä (vahingossa) konfiguroi verkkosivustonsa ja meni selaamaan testiä, hän ei kohdannut mitään ongelmia. Koska hänen selaimensa tunnistaa jo tämän välivarmenteen.
Monet käyttäjät eivät kuitenkaan välttämättä ole käyneet muilla asianmukaisesti konfiguroiduilla verkkosivustoilla, jotka on myönnetty tällä välivarmenteella. Siksi validointi epäonnistuu, koska se ei löydä luotettavaa myöntäjää.
Se on verrattavissa Volkswagenin dieselautojen pakokaasujen hallintaan. Kaikki oli kunnossa tarkistettuna. Heti kun he pääsevät ulos, he laittavat myrkkyä.
MUOKKAUS: Kuinka korjata ...... Todennäköisesti tarkoituksena on lisätä SSLCertificateChainFile-asetus palvelimen konfigurointiin ja käyttää varmenteen myöntäjän verkkosivujen tarjoamaa bundle-tiedostoa (tiedosto sisältää joukon välivarmenteita yhteyden muodostamiseen varmenteesi ja korkean luottamuksen varmenteen välillä).
|
Edellinen:OpenSSL muuntaa PFX-muodon .key- ja .crt-tiedostoiksiSeuraava:Android-selaimet kertovat, ettei varmenteeseen luoteta
|
