Estensioni critiche non supportate

Question

Estensioni critiche non supportate

#1 da (3 voti)

1

Ho letto il bel post scritto da @Thomas Pornin Quali proprietà di una X. Il certificato 509 dovrebbe essere critico e quale no?

e ha sollevato la mia domanda.

STORIA:

Supponiamo di avere un client C e un server S . Ora, il client prova a connettersi a S di SSL . Pertanto, S presenta il suo certificato CERT . Ora, C prova a verificare un S . Per quel momento possiamo omettere la verifica della firma e i dettagli di verifica del nome host e concentrarci sulle estensioni. Ovviamente, C utilizza OpenSSL per verificare il certificato.

Tuttavia, per alcune estensioni critiche OpenSSL dice: Non lo sostengo.

PROBLEMI:

Cosa dovrei fare? Suppongo che dovrei scrivere un codice che verifica le estensioni non supportate da OpenSSL, sì?
In particolare, come verificare un'estensione? Posso implementarlo da solo, ma devo sapere cosa significa verificare / convalidare un'estensione. Per favore aiuto.

certificates x.509

posta Gilgamesz 18.09.2017 - 09:22

fonte

1 risposta

Leggi altre domande sui tag certificates x.509

Modifica della variabile in un file php su un server web Cosa succede quando il certificato del timestamper scade?

score 3 · Accepted Answer

...but I have to know what does it mean to verify/validate an extension...

Non esiste una regola generica su come deve essere verificata un'estensione. Le regole dipendono invece dall'estensione specifica e sono solitamente documentate nello standard in cui è definita l'estensione specifica.

Pertanto, se il certificato contiene un'estensione contrassegnata come critica e che non è specificamente indirizzata dalla libreria TLS o dall'applicazione in base alle regole specifiche di questo tipo di estensione di quanto non si dovrebbe accettare il certificato.