Почему некоторым клиентам SSL нужно скачать SSL-сертификат сервера и сохранить его

Question

Я создаю PHP веб-приложение, которое использует AWS RDS. Чтобы зашифровать соединение, мне нужно скачать сертификат SSL с RDS и сохранить его на сервере приложений, чтобы приложение могло его использовать. Но я помню, что когда я использую SQL верстак, он каким-то образом знает, как соединиться с SSL с экземпляром RDS, не загружая сертификат и не сообщая ему, где хранится сертификат. Также после рассмотрения того, как работает HTTPS, я знаю, что клиенту не нужно сохранять сертификат при первом подключении к серверу, он загружает сам сертификат. Поэтому мой вопрос заключается в том, чтобы мое приложение подключалось к экземпляру RNS с использованием SSL. Почему мне нужно сначала загрузить сертификат и сообщить моему приложению, где оно хранится? Разве мое приложение не должно знать, как получить сам сертификат?

Answer 1

Для проверки сертификата требуется доверенный root CA. Доверенный означает, что ЦС находится в локальном хранилище доверенных сертификатов. В зависимости от того, к какому сайту вы подключаетесь и какой сертификат вы получаете, это может быть сертификат, выданный центром сертификации, которому вы уже доверяете или нет. В последнем случае вам нужно было бы сначала явно получить пока ненадежный сертификат CA и как-то обращаться с ним как с доверенным.

Необходимость явного импорта ЦС в качестве доверенного, как правило, имеет место для самозаверяющих сертификатов, что обычно считается плохой практикой, но в зависимости от конкретной среды c может иметь смысл. Это также может произойти для спецификаций компании c CA, но это должно быть лучше, если внедрить в различные системы автоматизированный процесс. Это также может произойти, когда неправильно настроенный сервер не отправляет требуемый промежуточный сертификат, и в этом случае было бы лучше исправить этот сервер.

Обратите внимание, что не следует импортировать произвольные сертификаты CA и считать их доверенными. Кто бы ни владел этим центром сертификации, он может выдавать произвольные сертификаты даже для существующих доменов, таких как google.com, и ваше приложение будет слепо доверять этим поддельным сертификатам, что делает возможным участие в промежуточных атаках.