Łańcuchy certyfikatów

Łańcuch certyfikatów (lub łańcuch zaufania) to uporządkowana lista certyfikatów łącząca certyfikat końcowy serwera z zaufanym certyfikatem głównym.

Każdy certyfikat jest podpisany przez certyfikat znajdujący się wyżej w łańcuchu.

Typowy łańcuch składa się z trzech elementów:

• Certyfikat końcowy (end-entity) dotyczący właściwego serwera.
• Certyfikat pośredni lub certyfikaty pośrednie, które podpisały certyfikat końcowy.
• Certyfikat główny, który podpisał certyfikat pośredni.

Aby przeprowadzić walidację, klient sprawdza kolejno każdy podpis, poruszając się w górę łańcucha:

• Klucz publiczny certyfikatu głównego weryfikuje certyfikat pośredni.
• Klucz publiczny certyfikatu pośredniego weryfikuje certyfikat końcowy.

Jeśli każdy podpis zostanie poprawnie zweryfikowany, a łańcuch kończy się zaufanym certyfikatem głównym, jest on prawidłowy.

Łańcuch przedstawiany przez serwer mogą Państwo wyświetlić za pomocą narzędzia s_client OpenSSL.

Łańcuchy są łączone na podstawie zgodności pól: Issuer certyfikatu jest równy polu Subject certyfikatu znajdującego się wyżej w łańcuchu.

Bardzo częstym błędem jest wysłanie przez serwer wyłącznie certyfikatu końcowego i pominięcie certyfikatu pośredniego.

Niektórzy klienci nie mogą wtedy zbudować ścieżki do certyfikatu głównego i zgłaszają niezaufany certyfikat, mimo że pod względem technicznym wszystko jest poprawne.

Serwery powinny wysyłać certyfikat końcowy wraz ze wszystkimi certyfikatami pośrednimi, ale zazwyczaj bez certyfikatu głównego, który klienci już posiadają.

Taki połączony plik jest często nazywany fullchain.pem.

Łańcuch mogą Państwo zweryfikować lokalnie, podając zaufany certyfikat główny.

Walidacja obejmuje więcej niż tylko podpisy. Klient sprawdza również:

• Każdy certyfikat mieści się w okresie swojej ważności.
• Łańcuch nie został unieważniony.
• Certyfikaty CA mają ustawioną flagę CA w podstawowych ograniczeniach.
• Przestrzegane są zasady użycia klucza i ograniczenia nazw.

Czasami nowy certyfikat główny nie jest jeszcze wszędzie zaufany. Podpisywanie krzyżowe pozwala, aby starszy, szeroko zaufany certyfikat główny również podpisał nowy certyfikat pośredni.

Tworzy to wiele prawidłowych ścieżek i poprawia zgodność ze starszymi urządzeniami.

Do typowych problemów z łańcuchem należą:

• Brak certyfikatu pośredniego
• Wygasły certyfikat w dowolnym miejscu ścieżki
• Nieprawidłowa kolejność w pliku łańcucha
• Niezaufany lub odrzucony certyfikat główny

Serwer przedstawia wyłącznie swój certyfikat końcowy, a niektórzy klienci zgłaszają go jako niezaufany. Jaka jest najbardziej prawdopodobna przyczyna?

Dowiedzieli się Państwo, jak łańcuch certyfikatów łączy certyfikat końcowy z zaufanym certyfikatem głównym za pośrednictwem certyfikatów pośrednich.

• Walidacja przebiega wzdłuż łańcucha i obejmuje weryfikację każdego podpisu, dat ważności oraz unieważnienia.
• Serwery powinny wysyłać pełny łańcuch, aby uniknąć błędów związanych z brakującym certyfikatem pośrednim.
• Podpisywanie krzyżowe poprawia zgodność.

W następnym temacie omówimy zadania operacyjne związane z zarządzaniem certyfikatami.