weryfikacja certyfikatu

Weryfikacja certyfikatu to sprawdzenie jego ważności i zaufania przed nawiązaniem szyfrowanego połączenia.

Co oznacza weryfikacja certyfikatu w połączeniu TLS

Weryfikacja certyfikatu jest częścią ustanawiania bezpiecznego połączenia TLS, używanego między innymi przez przeglądarki internetowe, aplikacje pocztowe i programy łączące się z usługami HTTPS. Klient otrzymuje od serwera certyfikat X.509 i sprawdza, czy certyfikat dotyczy właściwej nazwy hosta, czy mieści się w okresie ważności oraz czy został podpisany przez urząd certyfikacji znajdujący się w zaufanym magazynie systemu lub aplikacji. Samo użycie szyfrowania nie wystarcza: bez poprawnej weryfikacji klient nie miałby pewności, z jakim serwerem nawiązuje połączenie.

Certyfikat zawiera między innymi nazwę podmiotu, klucz publiczny, wystawcę, datę rozpoczęcia i zakończenia ważności oraz rozszerzenia określające zastosowanie klucza. Współczesne certyfikaty stron internetowych identyfikują domenę przede wszystkim przez pole Subject Alternative Name, czyli SAN. Nazwa wpisana przez użytkownika w adresie musi pasować do nazwy zapisanej w certyfikacie, z uwzględnieniem reguł dla certyfikatów wielodomenowych i symbolu wieloznacznego. Certyfikat wystawiony dla example.com nie potwierdza automatycznie tożsamości www.example.com, jeżeli ta nazwa nie została odpowiednio uwzględniona.

Elementy sprawdzane przez przeglądarkę i system

Podczas kontroli klient buduje łańcuch zaufania od certyfikatu serwera do certyfikatu głównego urzędu certyfikacji. Certyfikat serwera może być podpisany przez urząd pośredni, a ten przez urząd główny. System sprawdza podpisy cyfrowe kolejnych ogniw, ich okresy ważności oraz ograniczenia zapisane w rozszerzeniach Basic Constraints i Key Usage. Urząd główny musi być uznany za zaufany przez konkretny system operacyjny, przeglądarkę albo bibliotekę kryptograficzną. Dlatego ten sam certyfikat może być akceptowany na jednym komputerze, a odrzucany na innym z powodu różnego magazynu zaufanych certyfikatów lub nieaktualnego oprogramowania.

Ważna jest także zgodność przeznaczenia klucza. Rozszerzenie Extended Key Usage dla serwera internetowego powinno zezwalać na server authentication. Klient może również oceniać algorytmy podpisu, długość klucza i parametry kryptograficzne zgodnie z aktualnymi zasadami bezpieczeństwa. Certyfikat przeterminowany, jeszcze nieważny, odwołany albo podpisany przez nieznany urząd może spowodować ostrzeżenie. Błąd może wynikać również z nieprawidłowej daty i godziny na komputerze, ponieważ porównanie z okresem ważności certyfikatu odbywa się według lokalnego czasu systemowego.

Odwołanie certyfikatu i komunikaty o błędach

Urząd certyfikacji może unieważnić certyfikat przed upływem jego daty końcowej, na przykład po ujawnieniu klucza prywatnego. Informacje o takim odwołaniu są publikowane w listach CRL albo udostępniane przez usługę OCSP. Klient może odczytać z certyfikatu adres punktu dystrybucji CRL lub adres respondera OCSP i wykorzystać go do dodatkowej kontroli. Sposób wykonywania tych sprawdzeń zależy od systemu, przeglądarki, ustawień prywatności oraz dostępności serwera odwołań. Brak odpowiedzi OCSP nie zawsze oznacza, że certyfikat jest odwołany; może jednak powodować błąd w środowisku wymagającym rygorystycznego sprawdzania statusu.

Komunikat o niezgodności nazwy hosta wskazuje zwykle na błędny adres, nieprawidłową konfigurację serwera albo przechwytywanie ruchu przez firmowy filtr sieciowy. Informacja o nieznanym wystawcy może oznaczać brak certyfikatu pośredniego na serwerze, nieaktualny magazyn zaufania lub certyfikat wystawiony przez prywatny urząd. Ostrzeżenia dotyczące bezpieczeństwa nie powinny być omijane przez trwałe dodawanie przypadkowych certyfikatów do zaufanych. Najpierw należy sprawdzić adres strony, datę i godzinę, aktualizacje systemu oraz to, czy problem występuje w kilku sieciach i przeglądarkach.

Sprawdzenie certyfikatu podczas naprawy komputera

W systemie Windows szczegóły certyfikatu można wyświetlić z poziomu ostrzeżenia przeglądarki lub właściwości połączenia. Należy porównać nazwę domeny z wpisami SAN, sprawdzić wystawcę, daty ważności i cały łańcuch certyfikatów. Jeżeli błąd pojawia się na wielu stronach jednocześnie, warto skontrolować zegar systemowy, synchronizację czasu, magazyn głównych urzędów certyfikacji oraz działanie programu antywirusowego lub firmowego proxy analizującego HTTPS. Taki filtr może przedstawiać własny certyfikat pośredni, który musi być prawidłowo zainstalowany i zaufany w danym środowisku.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, w tym diagnostyką problemów z systemem, przeglądarką, konfiguracją sieci oraz magazynem certyfikatów. Podczas serwisowania można ustalić, czy przyczyną jest lokalna data, uszkodzone ustawienie aplikacji, brak aktualizacji, błędny certyfikat pośredni czy ingerencja dodatkowego oprogramowania. Weryfikacja obejmuje rozdzielenie problemu pojedynczej witryny od błędu występującego w całym systemie, aby nie usuwać zaufanych elementów bez potwierdzenia ich roli.