TLS-sertifikat və CAA qeydləri: saytın SSL-ini necə yoxlamaq olar

Ünvan sətrindəki kiçik qıfıl sadəcə "sertifikat var ya yox" demək deyil. Sertifikatın etibarlılıq müddəti var, kök sertifikat mərkəzinə qədər etimad zənciri var, və server həm müasir, həm də təhlükəli dərəcədə köhnəlmiş TLS protokol versiyalarını dəstəkləyə bilər. Nəyə diqqət etmək lazım olduğunu anlayaq.

Sertifikatın etibarlılıq müddəti

Hər TLS sertifikatının bitmə tarixi var — müasir sertifikatlar (Let's Encrypt və əksər ictimai CA-lar) 90 gün və ya təxminən bir il üçün buraxılır və avtomatik uzadılmalıdır. Avtomatik uzatma pozulubsa (məsələn, cron skripti dayanıb və ya IP dəyişib, ACME domain validation keçmir), sayt müəyyən vaxtdan sonra ziyarətçilərə "sertifikat vaxtı keçib" xəbərdarlığı göstərəcək — bu, saytlarda ən tez-tez rast gəlinən və ən gözə çarpan nasazlıqlardan biridir.

Etimad zənciri (certificate chain)

Brauzer birbaşa saytın öz sertifikatına deyil, zəncirə etimad edir: saytın sertifikatı sertifikat mərkəzinin aralıq sertifikatı ilə imzalanıb, o da öz növbəsində əvvəlcədən brauzerə və ya əməliyyat sisteminə qurulmuş kök sertifikatla. Server aralıq sertifikatı tam göndərmirsə (CA dəyişdikdən sonra tez-tez rast gəlinən konfiqurasiya xətası), bəzi brauzerlər və demək olar ki, bütün köhnə cihazlar və ya kitabxanalar (curl, köhnə Android) zənciri qura bilməyəcək və xəta göstərəcək — halbuki müasir desktop Chrome çatışmayan aralıq sertifikatı AIA vasitəsilə özü yükləyərək saytı normal aça bilər.

Köhnəlmiş TLS 1.0 / TLS 1.1 protokolları

Bu protokol versiyalarının məlum kriptoqrafik zəiflikləri var və böyük brauzerlər və ödəniş standartları (PCI DSS) tərəfindən rəsmən istifadədən çıxarılıb. Server onları hələ də qəbul edirsə — bu xəta deyil, sayt müasir müştərilərlə TLS 1.2/1.3 üzərindən işləməyə davam edəcək, lakin ehtiyac olmadan açıq-aşkar zəif protokol versiyasını aktiv saxlamaq dəyməz: bu, hər hansı fayda vermədən hücum səthini genişləndirir, çünki bu gün TLS 1.0/1.1 üzərindən əhəmiyyətli trafik demək olar ki, heç kim yaratmır.

CAA qeydləri: sertifikat buraxmağa kimin icazəsi var

CAA (Certification Authority Authorization) — domen üçün TLS sertifikatı buraxmağa hansı sertifikat mərkəzlərinin icazəsi olduğunu açıq göstərən DNS qeydidir. CAA qeydi olmadan domeninizə sertifikatı nəzəri olaraq dünyadaki istənilən ictimai CA sorğulaya bilər (standart domain validation yoxlamasından keçərək). CAA 0 issue "letsencrypt.org" kimi qeydlə domen deyir: "sertifikat buraxmağa yalnız Let's Encrypt-in icazəsi var", başqa hər hansı CA sorğunu rədd etməlidir. Həmçinin issuewild teqi (*.example.com kimi wildcard sertifikatlar üçün ayrıca) və iodef — bu qaydadan keçməyən sertifikat buraxma cəhdi barədə CA-ların məlumat verməli olduğu ünvan da var.

Saytınızı necə yoxlamalı

az.pon.az-dakı "SSL/TLS" aləti sertifikatın bitmə tarixini, tam zənciri (hər həlqə üçün buraxan, subyekt, etibarlılıq müddətləri), serverin dəstəklədiyi protokol versiyalarını (TLS 1.0/1.1 üçün açıq xəbərdarlıqla) və ayrıca — domenin CAA qeydlərini (əgər quraşdırılıbsa) göstərir.