I campi di un certificato CA radice sono stati controllati?

Naviga le tue risposte
1

Durante la convalida del server SSL, sembra che gli unici campi dei certificati X509 trovati negli archivi fiduciari effettivamente utilizzati siano il "Nome comune" e la "Chiave pubblica".

Non sto parlando di alcuna specifica implementazione di convalida dei certificati, ma usiamo OpenSSL come esempio.

Sembra che i normali controlli che avvengono su certificati CA intermedi non si applichino a quelli presenti all'interno dell'archivio di ancoraggio, ad esempio che i vincoli di base non sono controllati, le date non sono controllate, la debolezza della cifratura non viene controllata ecc.

Quindi ho due domande:

  1. Il comportamento che ho descritto è corretto? Ci sono altri campi in uso?
  2. Questi "extra" devono essere controllati in base agli RFC pertinenti? Da una lettura informale, sembra che tutto nel negozio di ancoraggio sia a priori fidato; nessun ulteriore controllo dovrebbe essere fatto. Ciò significa che un certificato CA privo della CA: il vero vincolo può emettere altri certificati e costituire la radice di una catena valida. Significa anche che un certificato CA che è scaduto può anche essere root di una catena valida. Pensieri?
posta Georgi 09.12.2015 - 03:07
fonte

1 risposta

2

This means that a CA certificate that lacks the CA:true constrain can issue other certificates and be the root of a valid chain

Dalla mia esperienza almeno OpenSSL verificherà che il flag CA: true sia impostato, ovvero che il certificato possa essere utilizzato come CA. Ma dubito che controlli la scadenza. Non verifica la revoca in quanto le CA radice sono di solito autofirmate comunque, pertanto il controllo di revoca sarebbe impossibile (non è possibile considerare attendibile un certificato per emettere una revoca se non si sa ancora se è possibile considerare attendibile il certificato).

EDIT: sulla base del feedback di @Georgi sembra che assumerà che il certificato possa firmare gli altri se non sono impostati vincoli. Ma se una CA esplicita: FALSE è impostata sul certificato emittente, la convalida dei certificati firmati da questo emittente avrà esito negativo.

    
risposta data 09.12.2015 - 06:57
fonte

Leggi altre domande sui tag

Può permettere a chiunque di creare file Dockerfile come risultato in RCE? il comando --nack fa quello che penso che fa in reaver e perché non funziona?