Lỗi chứng chỉ SSL sau khi chuyển hướng với gói CA tùy chỉnh

Tệp CA của công ty sửa URL đầu tiên, sau đó một chuyển hướng không qua được bước xác minh. Kiểm tra xem tùy chọn CA tùy chỉnh đã thay thế đầu vào tin cậy trước đó của máy khách hay bổ sung vào đó.

Hành vi đó phụ thuộc vào backend TLS và tùy chọn. Một tệp chỉ chứa CA của doanh nghiệp có thể khiến máy khách thiếu các nhà cung cấp chứng thư khác mà nó cần.

1. Theo dõi từng đối tác. Máy chủ đầu tiên có thể bị chặn dưới nhà phát hành doanh nghiệp. Máy chủ sau có thể dùng đường vòng, một đường kiểm tra khác hoặc chuỗi được phát hành công khai.
2. Ghi lại đầu vào của máy khách bị lỗi. Giữ tên máy chủ được yêu cầu, đích chuyển hướng, nhà phát hành nhận được, kết quả xác minh và cấu hình tin cậy đã chọn. Một trình duyệt hoạt động có thể dùng kho lưu trữ gốc khác.
3. Kiểm tra quy tắc chọn của backend. Các bản dựng curl có thể dùng xác minh gốc hoặc gốc dựa trên tệp, và các tùy chọn CA rõ ràng có thể thay đổi lựa chọn đó. Công thức cho tệp thực thi đó không cấu hình môi trường Python hay JVM.

Dùng một gói được duy trì hoặc cách bố trí kho tin cậy được hỗ trợ chứa các nhà cung cấp chứng thư công khai và riêng tư mà ứng dụng phải tin cậy. Không thêm khóa riêng của CA và không nâng mọi chứng chỉ lá bị lỗi lên thành gốc chỉ để xóa lỗi tiếp theo.

Phân phối tài liệu tin cậy qua đường cập nhật được hỗ trợ của triển khai. Việc thay thế thủ công gói CA của nhà cung cấp có thể bị lần cập nhật tiếp theo hoàn tác; hãy giữ rõ chủ sở hữu và quy trình bảo trì để việc xác minh tiếp tục trên toàn bộ tuyến yêu cầu.