Памылкі сертыфіката SSL пасля перанакіраванняў з уласным наборам CA
Праверце, ці змяшчае явна выбраны файл CA увесь матэрыял даверу, патрэбны фактычнаму шляху запыту, уключаючы перанакіраваныя хасты.
Файл CA кампаніі выпраўляе першы URL, а затым перанакіраванне не праходзіць праверку. Праверце, ці ўласная опцыя CA замяніла папярэднія ўваходныя дадзеныя даверу кліента, а не дадала да іх.
Гэтыя паводзіны залежаць ад TLS-бэкэнда і опцыі. Файл, які змяшчае толькі карпаратыўны CA, можа пакінуць кліента без іншых патрэбных яму цэнтраў сертыфікацыі.
- Праходзьце кожнага апанента. Першы хост можа быць перахоплены пад карпаратыўным эмітэнтам. Наступны хост можа выкарыстоўваць абыход, іншы шлях інспекцыі або публічна выпушчаны ланцужок.
- Запішыце ўваходныя дадзеныя збойнага кліента. Захавайце запытанае імя хоста, мэту перанакіравання, атрыманага эмітэнта, вынік праверкі і выбраныя налады даверу. Працуючы браўзер можа выкарыстоўваць іншае сховішча каранёў.
- Праверце правілы выбару бэкэнда. Зборкі curl могуць выкарыстоўваць уласную праверку або карані на аснове файлаў, і явныя опцыі CA могуць змяніць гэты выбар. Рэцэпт для гэтага выканальнага файла не наладжвае асяроддзе Python або JVM.
Выкарыстоўвайце набор, які падтрымліваецца, або падтрымоўваную схему сховішча даверу, што змяшчае публічныя і прыватныя цэнтры сертыфікацыі, якім праграма павінна давяраць. Не дадавайце прыватны ключ CA і не ўзводзьце кожны збойны канцавы сертыфікат у корань толькі дзеля ліквідацыі наступнай памылкі.
Дастаўляйце матэрыял даверу праз падтрымоўваны шлях абнаўлення разгортвання. Ручная замена пакета CA пастаўшчыка можа быць адменена наступным абнаўленнем; трымайце ўладальніка і працэс абслугоўвання яўнымі, каб праверка працягвалася на ўсім маршруце запыту.