SSL-sertifikatfeil etter omdirigeringar med ein tilpassa CA-pakke
Kontroller om den eksplisitt valde CA-fila inneheld alt tillitsmaterialet som den faktiske førespurnadsruta treng, inkludert omdirigerte vertar.
Selskapet si CA-fil rettar den første URL-en, deretter feilar ei omdirigering verifiseringa. Kontroller om det tilpassa CA-alternativet erstatta dei tidlegare tillitsinndataa til klienten i staden for å leggje til dei.
Denne åtferda er avhengig av TLS-backenden og alternativet. Ei fil som berre inneheld bedrifts-CA-en, kan la klienten stå utan andre nødvendige styresmakter.
- Følg kvar motpart. Den første verten kan bli avlytta under bedriftsutgivaren. Ein seinare vert kan bruke ei omgåing, ei anna inspeksjonsrute eller ei offentleg utgjedd kjede.
- Registrer inndataa til klienten som feilar. Hald på det førespurde vertsnamnet, omdirigeringsmålet, motteken utgivar, verifiseringsresultat og vald tillitskonfigurasjon. Ein fungerande nettlesar kan bruke eit anna rotlager.
- Kontroller utvalgsreglane til backenden. curl-bygg kan bruke innebygd verifisering eller filbaserte røter, og eksplisitte CA-alternativ kan endre dette valet. Ei oppskrift for den køyrbare fila konfigurerer ikkje eit Python-miljø eller ein JVM.
Bruk ein vedlikehalden pakke eller ei støtta ordning for tillitslager som inneheld dei offentlege og private styresmaktene applikasjonen skal stole på. Ikkje legg til ein privat nøkkel for ein CA, og ikkje fremje kvart feilande bladsertifikat til ei rot berre for å fjerne den neste feilen.
Lever tillitsmaterialet via den støtta oppdateringsruta til distribusjonen. Manuell utskifting av ein leverandør-CA-pakke kan bli gjort om av den neste oppdateringa hans; hald eigaren og vedlikehaldsprosessen eksplisitte slik at verifiseringa held fram gjennom heile førespurnadsruta.