Cadeias de certificados

Uma cadeia de certificados, ou cadeia de confiança, é a lista ordenada de certificados que conecta o certificado folha de um servidor a um certificado raiz confiável.

Cada certificado é assinado pelo certificado acima dele.

Uma cadeia típica tem três partes:

• Certificado folha (entidade final) do servidor em questão.
• Um ou mais certificados intermediários que assinaram a folha.
• Certificado raiz que assinou o intermediário.

Para validar, um cliente verifica cada assinatura ao subir pela cadeia:

• A chave pública da raiz verifica o intermediário.
• A chave pública do intermediário verifica a folha.

Se todas as assinaturas forem válidas e a cadeia terminar em uma raiz confiável, ela será válida.

Você pode visualizar a cadeia que um servidor apresenta usando o s_client do OpenSSL.

As cadeias são vinculadas pela correspondência entre campos: o Emissor de um certificado é igual ao Assunto do certificado acima dele.

Um erro muito comum ocorre quando um servidor envia apenas seu certificado folha e esquece o intermediário.

Alguns clientes não conseguem então construir um caminho até a raiz e informam um certificado não confiável, mesmo que tudo esteja tecnicamente válido.

Os servidores devem enviar a folha e todos os intermediários, mas geralmente não a raiz, que os clientes já possuem.

Esse arquivo combinado costuma ser chamado de fullchain.pem.

Você pode verificar uma cadeia localmente fornecendo a raiz confiável.

A validação envolve mais do que assinaturas. O cliente também verifica:

• Cada certificado está dentro do período de validade.
• A cadeia não foi revogada.
• Os certificados de CA têm o sinalizador de CA definido nas restrições básicas.
• O uso de chaves e as restrições de nomes são respeitados.

Às vezes, uma nova raiz ainda não é confiável em todos os lugares. A assinatura cruzada permite que uma raiz antiga e amplamente confiável também assine o novo intermediário.

Isso cria vários caminhos válidos, melhorando a compatibilidade com dispositivos mais antigos.

As falhas comuns de uma cadeia incluem:

• Certificado intermediário ausente
• Certificado expirado em qualquer ponto do caminho
• Ordem incorreta no arquivo da cadeia
• Raiz não confiável ou rejeitada

Você aprendeu como uma cadeia de certificados vincula uma folha a uma raiz confiável por meio de intermediários.

• A validação percorre a cadeia, verificando cada assinatura, as datas e a revogação.
• Os servidores devem enviar a cadeia completa para evitar erros causados por intermediários ausentes.
• A assinatura cruzada melhora a compatibilidade.

Em seguida, veremos as tarefas operacionais de gerenciamento de certificados.