Почему существуют 3 уровня SSL-сертификатов от браузера? - PullRequest
0 голосов
/ 14 января 2019

Когда я открываю данные SSL внутреннего приложения внутри сети (корпоративное приложение Intranet) - я вижу 3 уровня сертификатов? Что означает каждый уровень?

elve

1 Ответ

0 голосов
/ 14 января 2019

Нет конкретного определения каждого "уровня".

Мир HTTPS работает с использованием модели PKIX: каждая сущность (здесь, в частности, веб-сайт и их имя хоста) аутентифицируется некоторым сертификатом X.509.

Для того чтобы это доверие имело место, этот сертификат сервера должен быть подписан другим сертификатом, который называется доверенным сертификатом.

Браузеры поставляются с сотнями сертификатов полномочий по умолчанию. Система построена исходя из того, что вы полностью доверяете объектам, стоящим за этими сертификатами (да, не просматривая весь этот список и не получая явного согласия; вы можете удалить все из них из хранилища доверия своего браузера или даже ОС, но затем вы больше не сможет соединяться где-либо через HTTPS, и вам нужно будет повторно добавить их по одному), что означает, что вы принимаете в качестве действительного (помимо других технических проверок, таких как даты и т. д.) любой сертификат, подписанный этими сертификатами органа.

Но по многим техническим и нетехническим причинам органы власти часто не подписывают конечные сертификаты напрямую, а используют промежуточные сертификаты («средний» уровень в вашем случае, если хотите).

Это ничего не меняет в приведенной выше модели, поскольку доверие вытекает из корня, и когда вы подключаетесь к серверу, он отвечает своим собственным сертификатом и любыми другими посредниками, необходимыми для получения доступа к любому доверенному корню.

Обратите внимание, что глубина может варьироваться. Некоторые органы власти могут выдать конечный сертификат напрямую (поэтому у вас будет 2 «уровня» в выходных данных), некоторые могут использовать одного посредника (частый случай), некоторые могут использовать каскад посредников (посредники через некоторые технические точки в своем сертификате могут быть ограничены подписать только некоторые конкретные сертификаты (например, под определенными именами и т. д.), все это - центр сертификации, выдавший данный конечный сертификат, который вы просматриваете.

А когда вы имеете дело с «самозаверяющими» сертификатами, у вас больше нет уровней, потому что сертификат подписан сам по себе, что означает, что он является собственным центром сертификации, поэтому он один в списке сертификатов.

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...