Sözlük / Geliştirici başvuru kaynağı
PP pki data
- PP pki data nedir?
- PP pki data, bir BIP70 ödeme talebinde satıcının sertifikalarını taşıyan alandı: DER ile kodlanmış, önce yaprak sertifika, arkasında varsa ara sertifikalar, kök sertifika ise dışarıda bırakılmış.
Tanımlandığı belge: BIP-70.
İmza, onu doğrulayan genel anahtar olmadan değersizdir ve BIP70 bu anahtarı tek başına değil, bir sertifikanın içinde gönderiyordu. Alan, ham DER sertifikalarından oluşan bir listenin etrafını saran küçük bir protobuf kabı tutuyordu ve sıralama satıcıdan dışarı doğruydu. İçindekiler, bir cüzdanın bir şirket adı mı yoksa çıplak bir uyarı mı göstereceğini belirliyordu.
Nasıl çalışır
Durum: tarihsel. PP pki data, bir PaymentRequest mesajındaki beş alanın 3 numaralı alanıydı ve Bitcoin Core onu okuyan kodu 0.20.0 sürümünde kaldırdı; bu sürüm 3 Haziran 2020'de yayımlandı.
Baytların içinde X509Certificates adlı, tam olarak tek bir tekrarlanan alana sahip bir protobuf mesajı vardı ve her girdi ikili biçimde tam bir sertifikaydı. Sıralama beğeniye bırakılmamış, belirtilmişti: önce satıcının kendi sertifikası, ardından herkese açık bir kök sertifikaya ulaşmak için gereken ara sertifikalar.
Kök sertifikanın kendisi bilerek yoktu ve bu gerekçe BIP70 sınırlarının çok ötesine uzanır. Doğrulamaya çalıştığınız taraftan aldığınız bir kök sertifika hiçbir şey kanıtlamaz, çünkü herkes bir tane üretip onunla istediği her şeyi imzalayabilir. Güvenin, cihazınızda zaten bulunan bir listeden gelmesi gerekir.
Kullanılan kodlama olan DER, ASN.1'in kurallı ikili biçimidir: tek bir yapı, tam olarak tek bir geçerli bayt dizisi. BEGIN CERTIFICATE satırlarıyla bilinen PEM biçimi, aynı baytların base64 hâlidir ve yaklaşık üçte bir daha fazla yer kaplar, bu yüzden ağ üzerindeki biçim her zaman ham olandır.
Sertifikalar bir talebin boyutuna hâkimdi. Çıktılar, bir zaman damgası ve bir not iki yüz bayt civarında olabilirken, tek başına bir RSA-2048 sertifikası, hiçbir ad veya uzantı sayılmadan 256 baytlık bir modül ve 256 baytlık bir imza taşır; bunlardan ikisi art arda geldiğinde ise binlerce bayta ulaşılır. pki türü "none" olduğunda alan yalnızca boştu ve cüzdanın gösterecek hedeften başka hiçbir şeyi yoktu.
Nerede karşınıza çıkar
Aynı sertifika listesi, yaprak sertifika önce olacak şekilde aynı sırayla, kurduğunuz her HTTPS bağlantısında gelir.
Bir TLS sunucusu önce kendi sertifikasını, sonra ara sertifikaları gönderir ve yukarıdaki nedenle kök sertifikayı atlar. Herhangi bir sitenin gönderdiği tam listeyi tek bir komutla okuyabilirsiniz, openssl s_client -showcerts -connect example.com:443, ve ekrana basılan, BIP70 tarafından taşınan aynı malzemenin ikili değil PEM biçiminde gösterimidir.
Bitcoin satın alan biri için ders, o baytların size söylemediklerindedir. Geçerli bir zincir, bir otoritenin veriliş anında bir alan adının denetimini kontrol ettiğini kanıtlar. Şirketin kime ait olduğu, sayfanın bir borsanın kopyası olup olmadığı veya o borsanın para çekme taleplerini karşılayıp karşılayamadığı hakkında hiçbir şey söylemez. Oltalama (phishing) siteleri tamamen geçerli sertifikalar taşır; bunlar ücretsiz ve saniyeler içinde alınır ve ürettikleri kilit simgesi gerçeğinden ayırt edilemez.
Yani kilidi değil, alan adını okuyun. Bir borsaya arama reklamı üzerinden değil, bir kez oluşturduğunuz bir yer imi üzerinden ulaşın ve paranızı tutan bir sitede çıkan sertifika uyarısını bir davet değil, bir durma işareti olarak ele alın.
PP pki data vs sertifika zinciri
PP pki data bir kaptı; sertifika zinciri ise içine giren şeydir. pki data adını anmak yalnızca BIP70 belgelerini veya arşivlenmiş cüzdan kaynak kodunu okurken anlamlıdır, çünkü bu terimi başka hiçbir şey kullanmadı. Sertifika zinciri ise tam tersine, her gün bağlı olduğunuz canlı bir şeydir ve BIP70 belgesinin yazıya döktüğü sıralama kuralı, yani önce yaprak sertifika ve kök sertifikanın atlanması, TLS'in hâlâ izlediği kuraldır.