SSL-Zertifikatsfeeler no Ëmleedungen mat engem ugepasste CA-Bundle

Prüft, ob déi explizit ausgewielte CA-Datei all Vertrauensmaterial enthält, dat de richtege Request-Wee brauch, inklusiv ëmgeleet Hosts.

D'CA-Datei vun der Firma fixéiert déi éischt URL, duerno schléit eng Ëmleedung bei der Verifikatioun fehl. Prüft, ob d'ugepasst CA-Optioun den viregen Vertrauensinput vum Client ersat huet, amplaz en dobäizesetzen.

Dëst Verhalen hänkt vum TLS-Backend an der Optioun of. Eng Datei, déi nëmmen déi korporativ CA enthält, kann de Client ouni aner noutwendeg Autoritéiten loossen.

  1. Verfollegt all Géigeniwwer. Den éischten Host kann ënner dem korporativen Aussteller ofgefaange ginn. E méi spéiten Host kann eng Ëmgoe, en aneren Inspektiounswee oder eng ëffentlech ausgestallte Kette benotzen.
  2. Notéiert d'Inpute vum feelechte Client. Halt de ugefrote Hostnumm, d'Ëmleedungszil, den empfaangenen Aussteller, d'Verifikatiounsresultat an d'ausgewielt Vertrauenskonfiguratioun. E funktionéierende Browser ka en aneren Rootstore benotzen.
  3. Prüft d'Auswielregelen vum Backend. curl-Builden kënnen natierlech Verifikatioun oder dateibaséiert Roote benotzen, an explizit CA-Optiounen kënnen déi Auswiel änneren. E Rezept fir dee Executable konfiguréiert weder eng Python-Ëmgebung nach eng JVM.

Benotzt e gepflegte Bundle oder eng ënnerstëtzt Vertrauensstore-Anuerdnung mat de ëffentlechen a privaten Autoritéiten, deenen d'Applikatioun vertraue soll. Füügt kee private Schlëssel vun enger CA dobäi a befërdert net all feelecht Blat-Zertifikat op Root just fir den nächsten Feeler ze läschen.

Liwwert d'Vertrauensmaterial iwwer de ënnerstëtzten Update-Wee vum Deployment. Manuell Ersetze vun engem Hiersteller-CA-Paket kann duerch säin nächsten Update réckgängeg gemaach ginn; haalt den Eedem a säi Maintenance-Prozess explizit, sou datt d'Verifikatioun iwwer déi ganz Request-Route weidergeet.

Ähnlech Artikelen