Soru:
SSL / X.509 sertifikaları bir ana bilgisayar için tüm bağlantı noktalarını kapsar mı?
Parthian Shot
2014-07-10 22:39:06 UTC
view on stackexchange narkive permalink

Ya da sertifikalar hem ana bilgisayara hem de bağlantı noktasına özel mi (joker karakter sertifikaları hariç)?

Bir alanı doğrulamaları gerektiği için olmadıklarını varsayabilirim, ancak aynı zamanda 443 dışında herhangi bir bağlantı noktasında HTTPS çalıştıran hiç kimse görmedim ve yalnızca X.509 sertifikalarının HTTPS ile birlikte kullanıldığını gördüm, bu yüzden cevabın muhtemelen "hayır" olmasına rağmen kontrol etmek istedim.

Iki yanıtlar:
Thomas Pornin
2014-07-10 23:44:43 UTC
view on stackexchange narkive permalink

Teorik olarak bir sertifikaya istediğiniz her şeyi koyabilirsiniz; örneğin, bu sertifika aslında "Konu Diğer Adı" olarak bir video dosyası içerir (şaşırtıcı bir şekilde, Windows'un 1,2 MB'lik bir sertifikanın kodunu çözmede herhangi bir sorunu yoktur - ancak video, ne yazık ki). Ancak pratikte, "SSL için" sertifikalar, RFC 2818 'de belirtildiği gibi yalnızca amaçlanan sunucu adını içerir. İstemci (Web tarayıcısı), URL'deki adın gerçekten de sertifikada olması gereken yerde göründüğünü doğrulayacaktır. Sertifikada bir bağlantı noktası numarası depolamak için bir standart yoktur ve hiçbir istemci bu bağlantı noktası numarasının varlığını zaten doğrulamayacaktır, bu nedenle kısa bir deyişle: sertifikalar bağlantı noktasına özgü değildir. Sertifikaların işlediği ve somutlaştırdığı "kimlik" kavramı "bağlantı noktası" kavramını içermez.

İzin verilen protokol (ler) e (genişletilmiş) anahtar kullanımı yoluyla, ör. "TLS Sunucusu" veya "e-posta Koruması", ör. bir sertifika [yalnızca S / MIME e-posta kullanımı için] (http://security.stackexchange.com/questions/30066/which-extensions-to-use-for-as-mime-certificate) TLS için hiç desteklenmemelidir . İzin verilen subjectAltName türlerinden biri, * bir bağlantı noktası numarası içerebilen * uniformResourceIdentifier'dır. Bunun için desteğin yok denecek kadar yakın olduğundan şüpheleniyorum ;-)
Genişletilmiş Anahtar Kullanımı uzantısı bir nevi desteklenmektedir (en azından Microsoft dünyasında), ancak istemciler muhtemelen "kritik" olarak işaretlenmemişse bunu göz ardı edeceklerdir. Her neyse, HTTPS, 443 numaralı bağlantı noktasına özgü değildir (bu, varsayılan olarak yalnızca bağlantı noktasıdır, ancak diğer bağlantı noktalarında HTTPS yapabilirsiniz, bu standart ve desteklenir). URI türünün alternatif adlarına gelince, HTTPS istemcisi bunları tamamen yok sayacaktır: RFC 2818, yalnızca "dNSName" türündeki adların kullanımını zorunlu kıldığı için oldukça açıktır.
Çok teşekkürler. Bazı hızlı araştırmalar, kullanımının çoğunlukla SIP / SDP / MSRP, EAP-TLS ve XMPP protokolleriyle, yani kimliğin bir ana bilgisayar adından veya IP adresinden daha ince taneli olduğu yerlerde, sınırlı göründüğünü gösteriyor.
Nitpick: 2818, HTTPS için dNSName ve / veya iPAddress'e izin verir, ancak 6125 (2011'de) yeni uygulamalar için yalnızca dNSName'i destekler.Ancak, genel ağdaki (ve bir CABforum üyesi gibi genel bir CA'dan) sertifikalar ve URL'ler için adres kullanmak genellikle kötü bir fikirdir çünkü bir adresin değiştirilmesi gereken çok fazla durum vardır;OTOH, intranette makul olabilir.
Richard Copsewood
2018-01-23 22:26:08 UTC
view on stackexchange narkive permalink

Bir sertifikanın parmak izine ihtiyacınız olup olmadığı ve farklı bağlantı noktalarında kullanıldığında farklı karmalar almanız ve her ikisinde de SSL kullanmanız gerekip gerekmediği önemli görünüyor. Bunun neden olduğundan tam olarak emin değilim, ancak 90 günlük sertifika ömürleriyle, tam güven zincirini doğrulamak için nasıl elde edeceğimi bulana kadar fetchmail yapılandırmamı yamamaya devam ediyorum. 

  rich @ mars: ~ $ echo | openssl s_client -connect altalan.example.net:993 -showcerts | openssl x509 -fingerprint -noout -md5depth = 1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3doğrulama hatası: num = 20: yerel yayıncı sertifikası alınamıyor dönüş: 0DONEMD5 Parmak izi = D6: 2F: CD: EF: D3: 26: 5A: B5: 15: 24: E5: 55: 1F: 99: B8: B9rich @ mars: ~ $ echo | openssl s_client -connect altalan.example.net:443 -showcerts | openssl x509 -fingerprint -noout -md5depth = 1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3doğrulama hatası: num = 20: yerel yayıncı sertifikası alınamıyor dönüş: 0DONEMD5 Parmak izi = 7C: 3B: 53: 41: 55: 43: F7: B6: F5: BE: C9: 8F: E3: CD: BD: A1


ⓘ
Bu Soru-Cevap, otomatik olarak İngilizce dilinden çevrilmiştir.Orijinal içerik, dağıtıldığı cc by-sa 3.0 lisansı için teşekkür ettiğimiz stackexchange'ta mevcuttur.
Loading...