SSL चेन कैसे काम करते हैं?


37

मध्यवर्ती प्रमाणपत्र अधिकारियों की आवश्यकता क्यों है? इंटरमीडिएट प्रमाणपत्र का उपयोग कब किया जाएगा? मैं मध्यवर्ती प्रमाणपत्र से रूट प्रमाणपत्र तक श्रृंखला को कैसे सत्यापित करूं? इंटरमीडिएट प्रमाणपत्र के कौन से उदाहरण हैं जो रूट प्रमाण पत्र से लिंक होते हैं?


6
प्रश्न को बंद करने के लिए मतदान से पहले कम से कम टिप्पणी करने वाले लोगों की सराहना करेंगे। मुझे नहीं पता कि आप इसे क्यों बंद करना चाहते हैं जैसे कि यह एक डुप्लिकेट है, इसका कोई मतलब नहीं है, आदि
मूंगफली का दान

11
@ Linker3000 - सवाल खुला नहीं है क्योंकि स्पष्ट रूप से एक जवाब है और न ही यह गप्प है यानी किसी बातचीत को छेड़ना नहीं है। यह समझना है कि एसएसएल चेन कैसे काम करती है ताकि एसएसएल सर्टिफिकेट को लागू करते समय जरूरत पड़ी तो इसे एसएसएल चेन की नींव को समझने के साथ किया जा सके।
मूँगफली के दाने

जवाबों:


48

मध्यवर्ती प्रमाणपत्र अधिकारियों की आवश्यकता क्यों है? इंटरमीडिएट प्रमाणपत्र का उपयोग कब किया जाएगा?

कभी-कभी, रूट CA की निजी कुंजी को सुरक्षित रखने के लिए, इसे बहुत ही सुरक्षित स्थान पर संग्रहीत किया जाता है और केवल कुछ मध्यवर्ती प्रमाणपत्रों पर हस्ताक्षर करने के लिए उपयोग किया जाता है, जो तब अंतिम इकाई प्रमाणपत्र जारी करने के लिए उपयोग किया जाता है। समझौता करने के मामले में, मध्यस्थों को जल्दी से रद्द किया जा सकता है, बिना हर एक मशीन को फिर से कॉन्फ़िगर करने के लिए एक नए सीए पर भरोसा करने के लिए।

एक अन्य संभावित कारण प्रतिनिधिमंडल है: उदाहरण के लिए, Google जैसी कंपनियां, जो अक्सर अपने स्वयं के नेटवर्क के लिए कई प्रमाणपत्रों का उपयोग करती हैं, उनके पास स्वयं का एक मध्यवर्ती सीए होगा।

मैं मध्यवर्ती प्रमाणपत्र से रूट प्रमाणपत्र तक श्रृंखला को कैसे सत्यापित करूं?

आमतौर पर, अंतिम इकाई (उदाहरण के लिए, एक एसएसएल / टीएलएस वेब सर्वर) आपको पूरी प्रमाण पत्र श्रृंखला प्रदान करता है, और आपको बस इतना करना है कि हस्ताक्षर सत्यापित करें।

उस श्रृंखला में अंतिम रूट प्रमाणपत्र है, जिसे आपने पहले ही विश्वसनीय के रूप में चिह्नित किया है।

उदाहरण के लिए, जब आपके पास एक चेन [उपयोगकर्ता] → [इंटरमेड -1] → [इंटरमीडिया -2] → [रूट] , सत्यापन इस प्रकार है:

  1. क्या [उपयोगकर्ता] के पास इसका "जारीकर्ता" के रूप में [अंतरिम -1] है ?

  2. क्या [उपयोगकर्ता] के पास एक वैध हस्ताक्षर है [अंतरिम -1] कुंजी?

  3. क्या [अन्तर्निहित -1] के पास "जारीकर्ता -2 " है, जो "जारीकर्ता" है?

  4. क्या [इंटरमिटेड -1] के पास एक वैध हस्ताक्षर है [इंटरमीडिया -2] की कुंजी?

  5. कर देता है [इंटरमेड -2] के पास " रूट " है जो "जारीकर्ता" है?

  6. कर देता है [इंटरमेड -2] के पास [रूट] की द्वारा एक वैध हस्ताक्षर है ?

  7. चूंकि [जड़] श्रृंखला के निचले भाग में है और खुद को "जारीकर्ता" के रूप में है, क्या यह विश्वसनीय के रूप में चिह्नित है?

प्रक्रिया बिल्कुल हर समय एक जैसी है; मध्यवर्ती सीए की मौजूदगी और गिनती कोई मायने नहीं रखती है। उपयोगकर्ता प्रमाणपत्र को सीधे रूट द्वारा हस्ताक्षरित किया जा सकता है, और इसे उसी तरह सत्यापित किया जाएगा।

इंटरमीडिएट प्रमाणपत्र के कौन से उदाहरण हैं जो रूट प्रमाण पत्र से लिंक होते हैं?

तीन या चार प्रमाणपत्र वाली जंजीरों के लिए https://twitter.com/ या https://www.facebook.com/ की प्रमाणपत्र जानकारी देखें । Google के स्वयं के प्रमाणन प्राधिकरण के उदाहरण के लिए https://www.google.com/ भी देखें ।


धन्यवाद। जब आप प्रतिनिधिमंडल कहते हैं, तो उनके स्वयं के मध्यवर्ती प्रमाण पत्र होने में कैसे मदद मिलती है? क्या इसका मतलब यह भी है कि यह एक और विश्वसनीय रूट प्रमाणपत्र प्राधिकरण द्वारा हस्ताक्षरित किया गया है? मैंने Google के प्रमाणपत्र पर एक नज़र डाली थी, लेकिन श्रृंखला नहीं देखी थी। क्या आप कृपया इसका एक चित्र अपलोड कर सकते हैं?
मूँगफली के दाने

वे किसी अन्य विश्वसनीय रूट प्रमाणपत्र प्राधिकरण द्वारा हस्ताक्षरित नहीं हैं, वे अपने विश्वसनीय रूट प्रमाणपत्र प्राधिकरण द्वारा हस्ताक्षरित हैं। विशिष्ट सीए में कई अलग-अलग प्रणालियां हैं जो प्रमाण पत्र पर हस्ताक्षर कर सकते हैं। यदि वे सभी वास्तव में रूट कुंजी का उपयोग करते हैं, तो एक सिस्टम के लिए एक समझौता पूरे सीए को नष्ट कर देगा और अपने सभी प्रमाणपत्रों को अविश्वसनीय रूप से प्रस्तुत करेगा।
डेविड शवार्ट्ज

1
@ डेविड श्वार्ट्ज - धन्यवाद। इसलिए Google के मामले में एक उदाहरण के रूप में उनका मूल प्रमाणपत्र प्राधिकारी इक्विफैक्स है जिसने उन्हें मध्यवर्ती प्रमाण पत्र बनाने की क्षमता प्रदान की है। क्या वह सही है?
मूँगफली के दाने

4
वह सही है। सबसे अधिक संभावना है, इक्विफेक्स उस मध्यवर्ती सीए द्वारा जारी किए गए प्रमाण पत्र पर हस्ताक्षर करने के लिए आवश्यक कुंजी रखता है, लेकिन Google के पास एक इंटरफ़ेस है जो उन्हें इक्विफैक्स के हिस्से पर मानव हस्तक्षेप के बिना प्रमाण पत्र पर हस्ताक्षर करने की अनुमति देता है। यदि Google कभी विशेषाधिकार का हनन करता है, तो इक्विफैक्स अपने मूल प्राधिकरण का उपयोग Google के मध्यवर्ती CA प्राधिकरण को रद्द करने के लिए कर सकता है।
डेविड श्वार्ट्ज

समस्या का पता लगाने और अपने सही चेन सर्टिफिकेट जेनरेट करने में आपकी मदद करने के लिए whatsmychaincert.com का उपयोग करें ।
एथन एलन
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.