Sertifika Zincirleri

Sertifika zinciri (veya güven zinciri), bir sunucunun yaprak sertifikasını güvenilir bir kök sertifikaya bağlayan sıralı sertifika listesidir.

Her sertifika kendisinden üstteki sertifika tarafından imzalanır.

Tipik bir zincirin üç bölümü vardır:

• Uç (son varlık) sertifikası: gerçek sunucu için.
• Ucu imzalayan ara sertifika veya sertifikalar.
• Ara sertifikayı imzalayan kök sertifika.

Bir istemci, doğrulama sırasında her imzayı yukarı doğru denetler:

• Kökün açık anahtarı ara sertifikayı doğrular.
• Ara sertifikanın açık anahtarı ucu doğrular.

Her imza başarıyla doğrulanır ve zincir güvenilen bir kökte sona ererse zincir geçerlidir.

Bir sunucunun sunduğu zinciri OpenSSL'in s_client aracını kullanarak görüntüleyebilirsiniz.

Zincirler, alanları eşleştirerek birbirine bağlanır: bir sertifikanın Veren alanı, üstündeki sertifikanın Konu alanına eşittir.

Çok yaygın bir hata, sunucunun yalnızca kendi ucunu gönderip ara sertifikayı unutmasıdır.

Bunun sonucunda bazı istemciler köke giden bir yol oluşturamaz ve her şey teknik olarak geçerli olsa bile güvenilmeyen sertifika bildirimi verir.

Sunucular ucu ve tüm ara sertifikaları göndermelidir (istemcilerde zaten bulunan kök ise genellikle gönderilmez).

Bu birleşik dosyaya çoğu zaman fullchain.pem adı verilir.

Güvenilen kökü sağlayarak bir zinciri yerel olarak doğrulayabilirsiniz.

Doğrulama, imzalardan ibaret değildir. İstemci ayrıca şunları denetler:

• Her sertifika geçerlilik tarihleri içindedir.
• Zincirdeki sertifikalar iptal edilmemiştir.
• CA sertifikalarında, temel kısıtlamalarda CA bayrağı ayarlanmıştır.
• Anahtar kullanımına ve ad kısıtlamalarına uyulur.

Bazen yeni bir köke henüz her yerde güvenilmez. Çapraz imzalama, eski ve yaygın olarak güvenilen bir kökün yeni ara sertifikayı da imzalamasını sağlar.

Bu, birden fazla geçerli yol oluşturarak eski cihazlarla uyumluluğu artırır.

Yaygın zincir hataları şunlardır:

• Eksik ara sertifika
• Yolun herhangi bir yerinde süresi dolmuş sertifika
• Zincir dosyasında yanlış sıralama
• Güvenilmeyen veya güvenilirliği kaldırılmış kök

Bir sunucu yalnızca uç sertifikasını sunuyor ve bazı istemciler bunu güvenilmeyen olarak bildiriyor. En olası neden nedir?

Bir sertifika zincirinin, bir ucu ara sertifikalar üzerinden güvenilen bir köke nasıl bağladığını öğrendiniz.

• Doğrulama zincirde ilerler; her imzayı, tarihleri ve iptal durumunu denetler.
• Sunucular, eksik ara sertifika hatalarını önlemek için tam zinciri göndermelidir.
• Çapraz imzalama uyumluluğu artırır.

Sırada, sertifikaları yönetmeye yönelik operasyonel görevleri ele alıyoruz.