SSL სერტიფიკატის შეცდომები გადამისამართების შემდეგ მორგებული CA პაკეტით
შეამოწმეთ, შეიცავს თუ არა ცალსახად არჩეული CA ფაილი ნამდვილი მოთხოვნის გზისთვის საჭირო მთელ სანდოობის მასალას, გადამისამართებული ჰოსტების ჩათვლით.
კომპანიის CA ფაილი ასწორებს პირველ URL-ს, შემდეგ გადამისამართება ვერ გაივლის შემოწმებას. შეამოწმეთ, მორგებულმა CA პარამეტრმა შეცვალა კლიენტის წინა სანდოობის შეყვანა თუ დაუმატა მას.
ეს ქცევა დამოკიდებულია TLS backend-ზე და პარამეტრზე. ფაილი, რომელიც მხოლოდ კორპორატიულ CA-ს შეიცავს, შეიძლება კლიენტი დატოვოს სხვა საჭირო ორგანოების გარეშე.
- მიჰყევით თითოეულ წყვილს. პირველი ჰოსტი შეიძლება ჩაჭრილი იყოს კორპორატიული გამომცემლის ქვეშ. მოგვიანებით ჰოსტმა შეიძლება გამოიყენოს გვერდის ავლა, სხვა ინსპექციის გზა ან საჯაროდ გამოცემული ჯაჭვი.
- ჩაწერეთ წარუმატებელი კლიენტის შეყვანები. შეინარჩუნეთ მოთხოვნილი ჰოსტის სახელი, გადამისამართების სამიზნე, მიღებული გამომცემელი, შემოწმების შედეგი და არჩეული სანდოობის კონფიგურაცია. მომუშავე ბრაუზერმა შეიძლება სხვა ძირეული საცავი გამოიყენოს.
- შეამოწმეთ backend-ის არჩევის წესები. curl-ის ნაგებობებმა შეიძლება გამოიყენონ ბუნებრივი შემოწმება ან ფაილზე დაფუძნებული ძირები, და ცალსახა CA პარამეტრებმა შეიძლება შეცვალონ ეს არჩევანი. რეცეპტი ამ შესრულებადი ფაილისთვის არ აყენებს Python გარემოს ან JVM-ს.
გამოიყენეთ მხარდაჭერილი პაკეტი ან მხარდაჭერილი სანდოობის საცავის მოწყობა, რომელიც შეიცავს საჯარო და კერძო ორგანოებს, რომელთაც აპლიკაცია უნდა ენდოს. არ დაამატოთ CA-ის კერძო გასაღები და არ აამაღლოთ ყოველი წარუმატებელი ფოთლის სერტიფიკატი ძირამდე მხოლოდ შემდეგი შეცდომის მოსაშორებლად.
მიაწოდეთ სანდოობის მასალა განლაგების მხარდაჭერილი განახლების გზით. მომწოდებლის CA პაკეტის ხელით შეცვლა შეიძლება გაუქმდეს მისი შემდეგი განახლებით; მფლობელი და ტექნიკური მომსახურების პროცესი ცხადად შეინარჩუნეთ, რათა შემოწმება გაგრძელდეს მოთხოვნის მთელ მარშრუტზე.