Cosa succede quando i certificati intermedi sono installati nell'ordine sbagliato?

3

Ho notato che i certificati intermedi su un servizio web sono installati nell'ordine sbagliato. Quali effetti posso aspettarmi da questo?

Ho utilizzato il verificatore di certificati Symantec che ha dichiarato:

Certificates installed in the wrong order.

Some certificates in the chain are installed in the wrong order. See details below. Reinstall the certificates in the proper order.

  1. Ciò comporterebbe il rigetto degli handshake SSL?
  2. Se non vengono rifiutati, le richieste / risposte vengono crittografate in modo errato?
posta Edd 28.04.2014 - 17:52
fonte

1 risposta

2

Secondo lo standard SSL / TLS :

  This is a sequence (chain) of certificates.  The sender's
  certificate MUST come first in the list.  Each following
  certificate MUST directly certify the one preceding it.

Ciò che può accadere dipende dal cliente: alcuni semplicemente ignorano la catena e semplicemente riconvalidano il certificato del server, usando il certificato fornito come un sacchetto non ordinato di "certificati potenzialmente utili". Altri rifiuteranno la catena e si rifiutano di connettersi. Un sottocaso è quando i certificati sono così fuori-ordine che il primo certificato nella catena non è il vero certificato del server: in quel caso, i clienti che non hanno rifiutato la catena proveranno a usare il certificato sbagliato, e questo dovrebbe attivare un avviso di "mancata corrispondenza del nome" (ovvero il client sta tentando di utilizzare il certificato di una CA intermedia e il nome della CA non corrisponde al nome del server previsto); e alla fine porterebbe a un errore di handshake poiché la chiave pubblica CA non è la chiave pubblica del server.

In ogni caso, l'handshake SSL termina con una coppia di messaggi Finished che vengono utilizzati per verificare che tutto sia andato a buon fine. Se il client non utilizza la chiave pubblica corretta, lo scambio di chiavi fallirà, o (nella peggiore delle ipotesi) i messaggi di Finished non corrisponderanno, e nessun dato di applicazione sarà inviato o ricevuto. Non ci sarà alcuna "richiesta / risposta crittografata in modo errato".

    
risposta data 28.04.2014 - 18:42
fonte

Leggi altre domande sui tag