Żbalji taċ-ċertifikat SSL wara ridirezzjonijiet b'pakket CA personalizzat
Iċċekkja jekk il-fajl CA magħżul b'mod espliċitu fihx il-materjal kollu ta' fiduċja li jeħtieġ il-passaġġ reali tat-talba, inklużi l-hosts ridirezzjonati.
Il-fajl CA tal-kumpanija jsewwi l-ewwel URL, imbagħad ridirezzjoni tfalli l-verifika. Iċċekkja jekk l-għażla CA personalizzata ssostitwixxietx id-dħul ta' fiduċja preċedenti tal-klijent minflok ma żżid miegħu.
Dan l-imġiba tiddependi mill-backend TLS u mill-għażla. Fajl li fih biss is-CA korporattiva jista' jħalli lill-klijent mingħajr awtoritajiet oħra li jeħtieġ.
- Segwi kull pari. L-ewwel host jista' jiġi interċettat taħt il-ħarreġ korporattiv. Host aktar tard jista' juża bypass, passaġġ ta' spezzjoni ieħor jew katina maħruġa pubblikament.
- Irreġistra l-inputs tal-klijent li qed ifalli. Żomm l-isem tal-host mitlub, il-mira tar-ridirezzjoni, il-ħarreġ riċevut, ir-riżultat tal-verifika u l-konfigurazzjoni ta' fiduċja magħżula. Browser li jaħdem jista' juża maħżen tal-għeruq ieħor.
- Iċċekkja r-regoli tal-għażla tal-backend. Il-binjiet curl jistgħu jużaw verifika nattiva jew għeruq ibbażati fuq fajls, u għażliet CA espliċiti jistgħu jbiddlu dik l-għażla. Riċetta għal dak l-eżekutabbli ma tikkonfigurax ambjent Python jew JVM.
Uża pakket miżmum jew tqassim ta' maħżen ta' fiduċja appoġġjat li fih l-awtoritajiet pubbliċi u privati li l-applikazzjoni hija maħsuba biex tafda. Żidx il-muftieħ privat ta' CA u lanqas tgħollix kull ċertifikat tal-weraq li jfalli għal għerq biss biex tneħħi l-iżball li jmiss.
Wassal il-materjal ta' fiduċja permezz tal-passaġġ tal-aġġornament appoġġjat tad-deploy. Is-sostituzzjoni manwali ta' pakket CA tal-fornitur tista' titħassar mill-aġġornament li jmiss tiegħu; żomm is-sid u l-proċess tal-manutenzjoni espliċiti biex il-verifika tkompli tul ir-rotta kollha tat-talba.