Digitális tanúsítványok és PKI: mit ellenőriz a böngésző?
Értsd meg a CA, root certificate, intermediate certificate, certificate chain és domain validation szerepét a HTTPS hitelesítésében.
Röviden
A digitális tanúsítvány egy publikus kulcsot köt egy identitáshoz, például domainhez, egy aláírt adatszerkezetben. A böngésző a tanúsítványláncot egy megbízható gyökértanúsítványig ellenőrzi.
Root → intermediate → webhely
A gyökértanúsítványok a böngésző vagy operációs rendszer trust store-jában vannak. A root jellemzően intermediate tanúsítványokat ír alá, azok pedig végfelhasználói szervertanúsítványokat. Ezzel a root privát kulcsát ritkábban kell használni, és a bizalmi infrastruktúra jobban szegmentálható.
Megbízható root CA
→
Intermediate CA
→
bybence.co tanúsítvány
→
TLS szerver
A böngésző aláírási láncot ellenőriz
01
Root CA
megbízott
02
Intermediate
aláírt
03
Domain cert
bybence.co
Mit tartalmaz egy szervertanúsítvány?
Többek között a publikus kulcsot, az érvényességi időt, az aláíróra vonatkozó adatokat, a domainneveket a Subject Alternative Name mezőben és a CA digitális aláírását. A modern böngészők a domain egyezését a SAN mező alapján ellenőrzik.
Mit jelent a domain validation?
DV tanúsítványnál a CA azt ellenőrzi, hogy a kérelmező kontrollálja-e az adott domaint egy szabványos challenge segítségével. Ez nem üzleti minősítés és nem tartalmi ellenőrzés. Emiatt az érvényes tanúsítvány nem bizalmi pecsét egy vállalkozás jóhiszeműségére.
Miért fontos az automatizált tanúsítványkezelés?
Az ACME protokoll lehetővé teszi a tanúsítványok automatikus kiállítását és megújítását. A rövidebb élettartamú, automatikusan rotálható tanúsítványok csökkentik a kézi adminisztrációt és az elfelejtett lejáratok kockázatát.
Gyakori kérdések
A Let’s Encrypt tanúsítvány kevésbé biztonságos?
Nem azért biztonságos vagy gyenge egy TLS-kapcsolat, mert ingyenes vagy fizetős a tanúsítvány. A böngésző által elfogadott tanúsítvány és a megfelelő TLS-konfiguráció a lényeg.
Források és szabványok
Biztonsági témánál az elsődleges szabvány és a karbantartott szakmai útmutató fontosabb, mint egy véletlen implementációs példa. Az alábbi forrásokból érdemes továbbmenni.
Kapcsolódó ByBence