Łańcuch certyfikatów TLS: certyfikat końcowy, pośredni i główny

Serwer TLS zwykle przedstawia certyfikat końcowy (leaf) oraz certyfikaty pośrednie potrzebne do zbudowania ścieżki do kotwicy zaufania, którą klient już posiada. Certyfikatu głównego zwykle się nie przesyła, bo nie może on poświadczać sam siebie – zaufanie wynika z magazynu zaufanych certyfikatów klienta.

Jak budowane jest zaufanie do certyfikatu

Zaufanie do certyfikatu serwera opiera się na łańcuchu: od certyfikatu strony, przez pośrednie urzędy certyfikacji, aż do certyfikatu głównego, któremu ufa klient. Serwer zwykle wysyła własny certyfikat i wymagane certyfikaty pośrednie, ale nie musi wysyłać certyfikatu głównego.

Jak sprawdzić łańcuch certyfikatów

Sprawdź certyfikat dla rzeczywistej nazwy hosta: daty ważności, nazwy w polu SAN i certyfikaty pośrednie. Jeśli jeden klient ufa stronie, a drugi nie, porównaj ich magazyny zaufanych certyfikatów i łańcuch wysyłany przez serwer; nie polegaj na certyfikacie pośrednim zapamiętanym wcześniej w pamięci podręcznej. Dostępność serwera sprawdzisz niezależnie narzędziem 2IP „Sprawdź aktywne usługi na serwerze”; łańcuch certyfikatów zweryfikuj osobno.

Dlaczego klienci mogą różnie oceniać zaufanie

Format certyfikatów i weryfikację ścieżki certyfikacji opisuje RFC 5280.