Σφάλματα πιστοποιητικού SSL μετά από ανακατευθύνσεις με προσαρμοσμένο πακέτο CA

Το αρχείο CA της εταιρείας διορθώνει το πρώτο URL και μετά μια ανακατεύθυνση αποτυγχάνει στην επαλήθευση. Ελέγξτε αν η προσαρμοσμένη επιλογή CA αντικατέστησε την προηγούμενη είσοδο εμπιστοσύνης του πελάτη αντί να την προσθέσει.

Αυτή η συμπεριφορά εξαρτάται από το backend TLS και την επιλογή. Ένα αρχείο που περιέχει μόνο την εταιρική CA μπορεί να αφήσει τον πελάτη χωρίς άλλες αρχές που χρειάζεται.

1. Ακολουθήστε κάθε ομότιμο. Ο πρώτος κεντρικός υπολογιστής μπορεί να υποκλαπεί υπό τον εταιρικό εκδότη. Ένας μεταγενέστερος μπορεί να χρησιμοποιεί παράκαμψη, άλλη διαδρομή επιθεώρησης ή δημόσια εκδοθείσα αλυσίδα.
2. Καταγράψτε τις εισόδους του πελάτη που αποτυγχάνει. Κρατήστε το ζητούμενο όνομα κεντρικού υπολογιστή, τον στόχο ανακατεύθυνσης, τον εκδότη που ελήφθη, το αποτέλεσμα επαλήθευσης και τη ρυθμισμένη εμπιστοσύνη. Ένας περιηγητής που λειτουργεί μπορεί να χρησιμοποιεί άλλο χώρο ριζών.
3. Ελέγξτε τους κανόνες επιλογής του backend. Οι κατασκευές curl μπορούν να χρησιμοποιούν εγγενή επαλήθευση ή ρίζες από αρχεία, και οι ρητές επιλογές CA μπορούν να αλλάξουν αυτή την επιλογή. Μια συνταγή για αυτό το εκτελέσιμο δεν ρυθμίζει περιβάλλον Python ούτε JVM.

Χρησιμοποιήστε ένα συντηρούμενο πακέτο ή υποστηριζόμενη διάταξη χώρου εμπιστοσύνης που περιέχει τις δημόσιες και ιδιωτικές αρχές στις οποίες η εφαρμογή πρέπει να έχει εμπιστοσύνη. Μην προσθέσετε το ιδιωτικό κλειδί μιας CA και μην αναβαθμίσετε κάθε αποτυγχανόμενο φύλλο πιστοποιητικού σε ρίζα μόνο για να καθαρίσετε το επόμενο σφάλμα.

Παραδώστε το υλικό εμπιστοσύνης μέσω της υποστηριζόμενης διαδρομής ενημέρωσης της ανάπτυξης. Η χειροκίνητη αντικατάσταση ενός πακέτου CA προμηθευτή μπορεί να αναιρεθεί από την επόμενη ενημέρωσή του· κρατήστε τον ιδιοκτήτη και τη διαδικασία συντήρησης ρητά, ώστε η επαλήθευση να συνεχίζεται σε όλη τη διαδρομή αιτήματος.