Chyby certifikátu SSL po presmerovaniach s vlastným balíkom CA
Skontrolujte, či explicitne zvolený súbor CA obsahuje všetok materiál dôvery, ktorý skutočná cesta požiadavky potrebuje, vrátane presmerovaných hostiteľov.
Firemný súbor CA opraví prvú URL, potom presmerovanie neprejde overením. Skontrolujte, či vlastná voľba CA nahradila predchádzajúci vstup dôvery klienta, namiesto toho, aby k nemu niečo pridala.
Takéto správanie závisí od backendu TLS a od voľby. Súbor obsahujúci iba podnikovú CA môže klienta nechať bez ďalších potrebných autorít.
- Sledujte každý protipól. Prvý hostiteľ môže byť zachytený pod podnikovým vydavateľom. Neskorší hostiteľ môže použiť obchádzku, inú cestu inšpekcie alebo verejne vydaný reťazec.
- Zaznamenajte vstupy zlyhávajúceho klienta. Uchovajte požadované meno hostiteľa, cieľ presmerovania, prijatého vydavateľa, výsledok overenia a zvolenú konfiguráciu dôvery. Fungujúci prehliadač môže používať iné úložisko koreňov.
- Preverte pravidlá výberu backendu. Zostavenia curl môžu používať natívne overenie alebo korene založené na súboroch a explicitné voľby CA môžu tento výber zmeniť. Recept pre tento spustiteľný súbor nenastavuje prostredie Python ani JVM.
Použite udržiavaný balík alebo podporované usporiadanie úložiska dôvery obsahujúce verejné aj súkromné autority, ktorým má aplikácia dôverovať. Nepridávajte súkromný kľúč CA a nepovyšujte každý zlyhávajúci koncový certifikát na koreň len preto, aby ste odstránili nasledujúcu chybu.
Doručujte materiál dôvery podporovanou cestou aktualizácie nasadenia. Ručné nahradenie balíka CA dodávateľa môže ďalšia aktualizácia vrátiť; udržujte vlastníka a proces údržby explicitné, aby overovanie pokračovalo po celej trase požiadavky.