TLS sertifika zinciri: son kullanıcı, ara ve kök sertifika

Bir TLS sunucusu normalde son kullanıcı (leaf) sertifikasını ve istemcide zaten bulunan bir güven çapasına giden yolu kurmak için gereken ara sertifikaları sunar. Kök sertifikanın gönderilmesi genellikle gerekmez, çünkü kendisi bir şey kanıtlamaz; güven, istemcinin güven deposundan gelir.

Sertifika güveni nasıl kurulur?

Bir sunucu sertifikasına duyulan güven, site sertifikasından ara sertifika otoriteleri üzerinden istemcinin güvendiği bir kök sertifikaya uzanan zincirle kurulur. Sunucu normalde kendi sertifikasını ve gerekli ara sertifikaları gönderir; kök sertifikayı göndermesi gerekmez.

Sertifika zinciri nasıl kontrol edilir?

Gerçek ana bilgisayar adının sertifikasını inceleyin: geçerlilik tarihleri, SAN adları ve ara sertifikalar. Bir istemci siteye güvenirken diğeri güvenmiyorsa güven depolarını ve sunucunun gönderdiği zinciri karşılaştırın; daha önce önbelleğe alınmış bir ara sertifikaya güvenmeyin. Bağımsız bir erişilebilirlik kontrolü için 2IP sunucu hizmetleri kontrolünü kullanın; sertifika zincirini ise ayrıca inceleyin.

İstemciler neden farklı güven kararları verir?

Teknik kaynak: RFC 5280.