Błędy certyfikatu SSL po przekierowaniach z niestandardowym pakietem CA

Plik CA firmy poprawia pierwszy URL, a następnie przekierowanie nie przechodzi weryfikacji. Sprawdź, czy niestandardowa opcja CA zastąpiła poprzednie dane zaufania klienta, zamiast je uzupełniać.

To zachowanie zależy od backendu TLS i opcji. Plik zawierający tylko firmowy CA może pozostawić klienta bez innych potrzebnych mu organów.

1. Śledź każdego partnera. Pierwszy host może być przechwycony pod firmowym wystawcą. Późniejszy host może używać obejścia, innej ścieżki inspekcji lub publicznie wydanego łańcucha.
2. Zarejestruj dane wejściowe zawodzącego klienta. Zachowaj żądaną nazwę hosta, cel przekierowania, otrzymanego wystawcę, wynik weryfikacji i wybraną konfigurację zaufania. Działająca przeglądarka może używać innego magazynu głównego.
3. Sprawdź reguły wyboru backendu. Kompilacje curl mogą używać natywnej weryfikacji lub głównych opartych na plikach, a jawne opcje CA mogą zmienić ten wybór. Przepis dla tego pliku wykonywalnego nie konfiguruje środowiska Python ani JVM.

Użyj utrzymywanego pakietu lub obsługiwanego układu magazynu zaufania zawierającego publiczne i prywatne organy, którym aplikacja ma ufać. Nie dodawaj prywatnego klucza CA ani nie awansuj każdego zawodzącego certyfikatu liścia do głównego tylko po to, by usunąć następny błąd.

Dostarczaj materiał zaufania obsługiwaną ścieżką aktualizacji wdrożenia. Ręczne zastąpienie pakietu CA dostawcy może zostać cofnięte przez jego następną aktualizację; utrzymuj jawnie właściciela i proces utrzymania, aby weryfikacja trwała przez całą trasę żądania.