Yaprak sertifika

Bir yaprak sertifika, bir genel anahtarı bir ana makine adına bağlar ve bir ara sertifika tarafından imzalanır. Azami ömrü küçülmeye devam ediyor: üst sınır 1 Eylül 2020 tarihinde 825 günden 398 güne düştü ve 2025 yılındaki bir CA/Browser Forum oylaması bunu Mart 2029 itibarıyla kademeli olarak 47 güne indiriyor. Bir asma kilit, alan adının eşleştiğini söyler, ki bir dolandırıcının benzer görünen alan adının da tam olarak başardığı şey budur.

Nasıl çalışır

Bir yaprak sertifika zincirin en altında yer alır ve başka hiçbir şeyi imzalayamaz. basicConstraints uzantısı CA değerini false yapar ve bu bayrak, onunla üstündeki her sertifika arasındaki mekanik farktır. Kapsadığı ana makine adları subjectAltName uzantısında bulunur; eski ortak ad alanı güncel istemciler tarafından yok sayılır, bu yüzden subjectAltName uzantısı ana makine adını içermeyen bir sertifika, ortak ad kusursuz eşleşse bile başarısız olur.

Bir sertifikanın düzenlenmesini sağlamak, çoğu kişinin sandığından daha azını kanıtlar. En ucuz ve açık ara en yaygın düzey olan alan adı doğrulaması, yalnızca talepte bulunanın alan adındaki bir URL'ye bir token yerleştirebildiğini ya da onun altında bir DNS kaydı yayımlayabildiğini kontrol eder. ACME protokolünde bu kontrol saniyeler içinde tamamlanır ve hiçbir ücrete tabi değildir. Kuruluş doğrulaması ve genişletilmiş doğrulama, bir tüzel kişilik hakkında evrak ekler, ama tarayıcılar bu çabayı ödüllendirmeyi bıraktı: Chrome 77 ve Firefox 70, 2019 sonbaharında şirket adını adres çubuğundan kaldırdı, böylece bir ziyaretçi artık her iki durumda da aynı asma kilidi görüyor.

İki gelişme gerçekten yardımcı oluyor. Kamusal olarak güvenilen her yaprak sertifika Certificate Transparency günlüklerine kaydedilmek zorundadır ve Chrome, 30 Nisan 2018 tarihinden beri kayıt kanıtı bulunmayan sertifikaları reddediyor, böylece herkes sahip olduğu bir alan adı için düzenlenmiş sertifikaları bu kamuya açık günlüklerde arayabilir ve kimsenin talep etmediği bir tanesini fark edebilir. Geçerlilik süresinin sıkıştırılması da yardımcı oluyor, bunun nedeni yalın: çalınmış bir anahtar, yalnızca sertifikanın süresi dolana kadar işe yarar, bu yüzden sektör kademeli olarak önce 200 güne, sonra 100 güne, sonra 47 güne inen bir takvimi kabul etti.

Nerede görürsünüz

Bir yaprak sertifika, bir borsada her oturum açtığınızda karşınıza çıkar. Tarayıcınızın ana makine adını karşılaştırdığı şey yaprak sertifikadır ve zincirde önünüzdeki belirli site hakkında herhangi bir şey söyleyen tek halka odur.

Terimin, Bitcoin satın alan herkes için değerini burada kazandığı yer burasıdır. Yazım hatasıyla taklit edilmiş bir alan adındaki oltalama (phishing) sayfası, otomatik ve ücretsiz olarak düzenlenmiş, tamamen geçerli bir yaprak sertifika taşır ve yanında gerçek bir asma kilit bulunur. Sertifika, bağlantınızın gerçekten adres çubuğunda gösterilen alan adına ulaştığını doğrular. Alan adının, sayfadaki logosu bulunan şirkete ait olduğunu hiçbir şekilde iddia etmez. Ana makine adını karakter karakter okuyun, ilk tek eğik çizgiden hemen önceki kısma dikkat edin ve asma kilidi dürüstlük değil, bağlantı hakkında bir ifade olarak değerlendirin.

BIP70 içinde yaprak sertifika aynı işi farklı bir kapta yapıyordu: sertifika listesinde ilk sırada geliyordu ve ödeme talebindeki imza onun özel anahtarıyla üretiliyordu.

Yaprak sertifika vs ara sertifika

Bir yaprak sertifika zinciri bitirir; bir ara sertifika onu sürdürür. İkisinden yalnızca biri başka sertifikaları imzalayabilir ve bir yaprak sertifikanın imzalamasına izin veren bir istemci, önüne herhangi birinin koyduğu her şeyi kabul ederdi. Bu ayrım özel anahtarın nerede durduğunu da belirler. Bir ara sertifika anahtarı, otoritedeki bir donanım modülünün içinde kalır ve ömrü boyunca binlerce sertifikayı imzalar. Bir yaprak sertifika anahtarı, tanımladığı sunucuda durur, o sunucunun maruz kaldığı her şeye maruz kalır ve sertifika her yenilendiğinde değiştirilir.