Sertifika zinciri

Zincirler, en değerli anahtarların çevrimdışı kalabilmesi için vardır. Bir kök sertifika birkaç ara sertifikayı imzalar ve sonra kasaya geri döner; sunucuları imzalama işini günlük olarak ara sertifikalar yapar. Doğrulama ters yönde ilerler, size verilen sertifikadan cihazınızda zaten bulunan bir şeye doğru, ve herhangi bir halka eksikse, süresi dolmuşsa veya tanınmıyorsa başarısız olur.

Nasıl çalışır

Tipik bir zincir üç konumdan oluşur ve bir sunucu bunlardan yalnızca ikisini iletir.

En altta, belirli bir alan adı kümesi için düzenlenmiş yaprak sertifika bulunur. Üstünde, kök sertifikayı günlük kullanımdan yalıtma amacı taşıyan bir veya daha fazla ara sertifika yer alır. En üstte ise kendi kendini imzalayan ve siz siteyi ziyaret etmeden çok önce güven deposunda bulunan kök sertifika vardır. Sunucu yaprak ve ara sertifikaları gönderir, çünkü kök sertifikayı göndermek bayt ekler ve hiçbir şeyi kanıtlamaz: bir kök sertifika yalnızca sizde zaten varsa sayılır.

Doğrulama, bir listede düz bir şekilde yukarı yürümek değildir. Bir sertifika birden fazla verici tarafından imzalanabilir, çapraz imzalama denen bu uygulama nedeniyle bir istemci birkaç aday yolla karşılaşabilir ve elinde bulunan bir kökle biten bir yol bulmak zorundadır. Aynı web sitesinin yeni bir dizüstü bilgisayarda açılıp eski bir telefonda başarısız olmasının nedeni budur. Yollar farklıdır çünkü güven depoları farklıdır.

En açık örnek hâlâ Let's Encrypt geçişidir. Kendi kökü olan ISRG Root X1, X1 kökünü henüz eklememiş cihazların yine de bir yol kurabilmesi için eski DST Root CA X3 tarafından çapraz imzalanmıştı. DST Root CA X3 sertifikasının süresi 30 Eylül 2021 tarihinde doldu. X1 kökünü elinde bulunduran cihazlar kimse farkına varmadan yollarını değiştirdi; 7.1.1 sürümünden eski Android sürümleri ve birkaç eski TLS kütüphanesi ise değiştirmedi ve bağlantılar dünya çapında tek bir öğleden sonra içinde koptu. Hiçbir şey hacklenmemiş ve hiçbir anahtar sızmamıştı. Bir tarih geçmişti.

Nerede görülür

Zincir sorunları endişe verici görünür ve neredeyse her zaman sıradandır.

En yaygın sunucu yanlış yapılandırması, unutulmuş bir ara sertifikadır. Tarayıcılar bunu çoğu zaman daha önceki ziyaretlerdeki ara sertifikaları önbelleğe alarak veya bunları sertifikanın içindeki bir URL'den getirerek örter; bu yüzden site yönetici için çalışır ama komut satırı araçları ve telefonlar için başarısız olur, bu da onu, izini sürmesi akılda kalıcı biçimde can sıkıcı bir hata haline getirir.

Bitcoin yöneten biri için bir zincir hatasının faydalı okuması tanısaldır. Bir borsa bir cihazda sertifika hatası verip diğerinde çalıştığında, fark neredeyse her zaman cihazdadır: yanlış sistem saati, daha yeni bir kök sertifika almış olmak için fazla eski bir işletim sistemi veya bağlantıya kendini sokan bir antivirüs ürünü. Bir saldırı varsaymadan önce cihazı düzeltin ve girmek için uyarıyı asla tıklayarak geçmeyin.

Donanım cüzdanı kanıtlaması aynı şekli çok daha küçük ölçekte kullanır: bir üretici kökü, bazen bir ara sertifika ve cihazın kendisinde tutulan bir sertifika.

Sertifika zinciri vs kök sertifika

Bir zincir yoldur; bir kök sertifika ise yolun bitmesi gereken yerdir. Zincirdeki kök sertifika dışındaki her sertifikaya yalnızca üstündeki bir şey onu imzaladığı için güvenilir; kök sertifikaya ise cihazınızla birlikte gelen bir listede yer aldığı için güvenilir ve kendini imzalar. Bu nedenle bir kök sertifikayı o listeye eklemek, başka herhangi bir sertifikayı kabul etmekten çok daha büyük bir karardır; kurumsal ağların ve trafik müdahale araçlarının sizden istediği tam olarak budur.