SSL-sertifikaadi vead ümbersuunamiste järel kohandatud CA-paketiga
Kontrollige, kas selgesõnaliselt valitud CA-fail sisaldab kogu usaldusmaterjali, mida tegelik päringutee vajab, sealhulgas ümbersuunatud hostid.
Ettevõtte CA-fail parandab esimese URL-i, seejärel ebaõnnestub ümbersuunamise kontroll. Kontrollige, kas kohandatud CA-valik asendas kliendi varasema usaldussisendi, selle asemel et seda täiendada.
See käitumine sõltub TLS-taustaprogrammist ja valikust. Ainult ettevõtte CA-d sisaldav fail võib jätta kliendi ilma muudest vajalikest asutustest.
- Jälgige iga vastaspoolt. Esimene host võib olla ettevõtte väljaandja all pealtkuulatud. Hilisem host võib kasutada möödasõitu, teist kontrolliteed või avalikult välja antud ahelat.
- Salvestage ebaõnnestuva kliendi sisendid. Hoidke alles taotletud hostinimi, ümbersuunamise sihtmärk, saadud väljaandja, kontrollitulemus ja valitud usaldusseade. Töötav brauser võib kasutada teist juurehoidlat.
- Kontrollige taustaprogrammi valikureegleid. curl-i buildid võivad kasutada kohalikku kontrolli või failipõhiseid juuri ning selgesõnalised CA-valikud võivad seda valikut muuta. Selle käivitatava faili retsept ei sea üles Pythoni keskkonda ega JVM-i.
Kasutage hooldatud paketti või toetatud usaldushoidla lahendust, mis sisaldab avalikke ja privaatseid asutusi, keda rakendus peaks usaldama. Ärge lisage CA privaatvõtit ega tõstke iga ebaõnnestuvat lehtsertifikaati juureks ainult järgmise vea kõrvaldamiseks.
Toimetage usaldusmaterjal kohaletoimetamise toetatud värskendustee kaudu. Tarnija CA-paketi käsitsi asendamise võib selle järgmine värskendus tühistada; hoidke omanik ja hooldusprotsess selgelt määratletud, et kontroll jätkuks kogu päringuteel.