خطاهای گواهی SSL پس از تغییرمسیرها با بسته CA سفارشی
بررسی کنید که آیا فایل CA انتخاب‌شده به‌صراحت همه مواد اعتماد مورد نیاز مسیر واقعی درخواست، از جمله میزبان‌های تغییرمسیر‌یافته را دارد.
فایل CA شرکت نشانی نخست را درست می‌کند، سپس یک تغییرمسیر در تأیید شکست می‌خورد. بررسی کنید که آیا گزینه CA سفارشی ورودی اعتماد پیشین کلاینت را جایگزین کرده است یا به آن افزوده است.
این رفتار به بک‌اند TLS و گزینه بستگی دارد. فایلی که تنها CA شرکتی را دارد می‌تواند کلاینت را بدون دیگر مراجع مورد نیازش بگذارد.
- هر همتا را دنبال کنید. میزبان نخست ممکن است زیر صادرکننده شرکتی رهگیری شود. میزبان بعدی می‌تواند از دورزدن، مسیر بازرسی دیگر یا زنجیره‌ای که عمومی صادر شده استفاده کند.
- ورودی‌های کلاینت شکست‌خورده را ثبت کنید. نام میزبان درخواستی، مقصد تغییرمسیر، صادرکننده دریافتی، نتیجه تأیید و پیکربندی اعتماد انتخاب‌شده را نگه دارید. مرورگر سالم ممکن است از انبار ریشه دیگری استفاده کند.
- قواعد انتخاب بک‌اند را بررسی کنید. ساخت‌های curl می‌توانند از تأیید بومی یا ریشه‌های مبتنی بر فایل استفاده کنند و گزینه‌های صریح CA می‌توانند آن انتخاب را تغییر دهند. دستورالعمل آن فایل اجرایی، محیط Python یا JVM را پیکربندی نمی‌کند.
از یک بسته نگهداری‌شده یا ترتیب انبار اعتماد پشتیبانی‌شده استفاده کنید که مراجع عمومی و خصوصی مورد اعتماد برنامه را دربر دارد. کلید خصوصی یک CA را اضافه نکنید و هر گواهی برگ شکست‌خورده را تنها برای پاک کردن خطای بعدی به ریشه ارتقا ندهید.
مواد اعتماد را از مسیر به‌روزرسانی پشتیبانی‌شده استقرار برسانید. جایگزینی دستی بسته CA یک فروشنده می‌تواند با به‌روزرسانی بعدی آن باطل شود؛ مالک و فرایند نگهداری را صریح نگه دارید تا تأیید در سراسر مسیر درخواست ادامه یابد.