Ara sertifika

Sertifika otoriteleri bir web sitesinin sertifikasını hiçbir zaman kök anahtarla imzalamaz. Bir ara sertifika imzalarlar, kök anahtarı çevrim dışı kilitlerler ve ara sertifikadan düzenleme yaparlar; bu ara sertifika, bir kökün yaşadığı yirmi yıl yerine haftalar içinde değiştirilebilir. Bir sunucu ara sertifikasını göndermeyi unuttuğunda tarayıcılar bu boşluğu örter, daha katı istemciler örtmez; bu yüzden bir site Chrome tarayıcısında sorunsuz görünüp bir uygulamada başarısız olabilir.

Nasıl çalışır

Ara sertifika, güven çıpası olmayan bir otorite sertifikasıdır. CA bayrağı true olarak ayarlanmış basicConstraints uzantısını taşır, bu da ona başka sertifikalar imzalama izni verir ve kendisi de bir kök ya da başka bir ara sertifika tarafından imzalanmıştır. Doğrulama sunucunun sertifikasından yukarı doğru tırmanır, her imzayı bir üstündeki sertifikada bulunan anahtarla kontrol eder ve yerel güven deposunda zaten bulunan bir şeye ulaştığında durur.

Düzenlemeyi bu şekilde bölmek üç şey kazandırır. Kök anahtar, yalnızca betikli ve tanıklı törenler için ortaya çıkan çevrim dışı bir modülde kalır. Zarar sınırlı kalır, çünkü ele geçirilmiş bir ara sertifika iptal edilip yeniden düzenlenebilir ve hiçbir cihazın kök deposuna dokunulmaz. Ve bir otorite ürün hatlarını ayırabilir; böylece ucuz otomatik katmandaki sorun denetlenmiş katmanı etkilemez.

Çapraz imzalama, yeni bir otoritenin hiç kullanılabilir olmasını sağlayan yöntemdir. Bir ara anahtar iki sertifika taşıyabilir: biri kendi kuruluşunun kökü tarafından imzalanmış, diğeri eski cihazlarda zaten bulunan yerleşik bir kök tarafından imzalanmış. Let's Encrypt yıllarca buna dayandı, çünkü ISRG Root X1 güncelleme almayı bırakmış Android sürümlerinde yoktu, bu yüzden IdenTrust tarafından çapraz imzalanmış bir zincir sundu. Bu koltuk değneği, arkasındaki kökten daha uzun yaşadı; o kökün süresi 30 Eylül 2021 tarihinde doldu ve Let's Encrypt sonunda çapraz imzalı zinciri 6 Haziran 2024 tarihinde sunmayı bıraktı.

Zincir kurulumu, işletmecilerin yanlış yaptığı kısımdır. Bir sunucu kendi sertifikasını ve üstündeki her ara sertifikayı göndermeli, istemcide zaten bulunan kökü ise göndermeyip kökten önce durmalıdır. Tarayıcılar eksiklikleri, eksik parçayı otorite bilgisi erişimi uzantısındaki URL'den indirerek ya da önbellekteki bir kopyayı yeniden kullanarak gizler. Bir ödeme kütüphanesi, bir mobil uygulama ya da bir komut satırı istemcisi genellikle ikisini de yapmaz ve yalnızca güvenilmeyen bir zincir bildirir.

Nerede görülür

BIP70 ara sertifikaları ödeme iletisinin içinde taşıyordu. pki_data alanı, ilk girdisi satıcının kendi sertifikası olan ve ardından bir köke ulaşmak için gereken ara sertifikaların geldiği bir X509Certificates yapısı taşıyordu; kök atlanıyordu çünkü cüzdanın onu zaten tutması bekleniyordu. Bu, bir TLS sunucusunun gönderdiği sıralamanın tam kendisidir, bir protokol arabelleğine taşınmış hali.

Bitcoin dışında ara sertifikalar, bir bağlantı bir programda başarılı olup başka bir programda başarısız olduğunda kendini belli eder. Web sitesi normal yüklenirken API uç noktası bir işlem betiğine sertifika hatası veren bir borsa, neredeyse her zaman zincirinden bir ara sertifikayı düşürmüştür. Tarayıcının sessiz onarımını yapmayan bir araçla test etmek, bunu botunuzdan önce yakalamanın yoludur.

Ara sertifika vs kök sertifika

Kök ve ara sertifika, ikisi de otorite sertifikasıdır ve fark, onları kimin imzaladığında ve anahtarın nerede durduğundadır. Kök kendinden imzalıdır ve gücünü bir satıcının dahil etme listesinden alır. Ara sertifika gücünü üstündeki imzadan alır; bu da düzenleyen otoritenin onu hiçbir yerde yazılım güncellemesi olmadan bir öğleden sonra iptal edebileceği anlamına gelir. Günlük işleyişte imzaların neredeyse tamamını ara sertifika yapar, kök neredeyse hiç yapmaz ve bu asimetri, katmanın var olmasının tek nedenidir.