Catene di certificati TLS: foglia, intermedio e radice

Un server TLS presenta di norma un certificato foglia e gli intermedi necessari per costruire un percorso fino a un trust anchor che il client possiede già. La radice di solito non viene inviata come prova di sé stessa: la fiducia deriva dall'archivio dei certificati attendibili del client.

Come si costruisce la fiducia in un certificato

La fiducia nel certificato di un server si basa su una catena che va dal certificato del sito, attraverso le autorità di certificazione intermedie, fino a un certificato radice considerato attendibile dal client. Il server invia di norma il proprio certificato e gli intermedi necessari, ma non deve inviare il certificato radice.

Come verificare una catena di certificati

Esamina il certificato per il nome host effettivo: date di validità, nomi SAN e intermedi. Se un client considera attendibile il sito e un altro no, confronta i loro archivi di certificati attendibili e la catena inviata dal server, senza fare affidamento su un intermedio memorizzato in precedenza. Per un controllo indipendente della raggiungibilità, usa lo strumento Verifica servizi attivi su un server di 2IP; la catena di certificati va esaminata a parte.

Perché i client possono non essere d'accordo sulla fiducia

Riferimenti tecnici: RFC 5280.