Lỗi Chứng Chỉ Là Gì?
Trình duyệt truy cập không chứa đồ bỏ chạy các phiên duyệt được quản lý cho các quy trình công cộng cần xác thực HTTPS gốc và hành vi trang đã được rend.
TL;DR
- Lỗi Chứng Chỉ Có Ranh Giới Kỹ Thuật Chính Xác. Các trình duyệt đánh giá một số thuộc tính cùng nhau: tên máy chủ yêu cầu phải khớp với một danh tính trong chứng chỉ, thời gian hiện tại phải nằm trong khoảng tính hợp lệ của chứng chỉ, chữ ký và mục đích phải chấp nhận được, và chuỗi phải đạt đến một gốc tin cậy. Sự cố trong bất kỳ kiểm tra cần thiết nào cũng dừng HTTPS tin cậy ngay cả khi máy chủ có thể tiếp cận.
- Chứng chỉ hết hạn hoặc chưa hợp lệ là nguyên nhân thường gặp. Chứng chỉ máy chủ ở ngoài khoảng thời gian hợp lệ của nó, hoặc đồng hồ của máy khách không đúng. So sánh ngày chứng chỉ với một nguồn thời gian tin cậy.
- Quy tắc an toàn thay đổi bước tiếp theo an toàn. Không thêm một cơ quan chứng chỉ không rõ hoặc bỏ qua sự không khớp tên máy chủ chỉ để loại bỏ cảnh báo; xác nhận chủ sở hữu chứng chỉ và mục đích trước.
- Không nhập thông tin xác thực. Dừng lại trước khi đăng nhập, thanh toán, hoặc dữ liệu cá nhân khi cảnh báo chứng chỉ chưa được giải quyết.
- Lỗi Chứng Chỉ trong Quy Trình Dữ Liệu Dựa Trên Trình Duyệt yêu cầu phân loại rõ ràng. Đối với các hệ thống nội bộ được phép sử dụng các gốc riêng tư, triển khai niềm tin thông qua cấu hình thiết bị được quản lý và tài liệu phạm vi. Không bao giờ đặt khóa gốc riêng tư trong công nhân thu thập, kho lưu trữ, hoặc nhắc nhở tự động.
Lỗi Chứng Chỉ Có Nghĩa Là Danh Tính Trang Web Không Thể Được Chứng Minh
Lỗi chứng chỉ xuất hiện khi một trình duyệt không thể xác thực chứng chỉ số được trình bày cho một kết nối HTTPS. Mã hóa đơn giản không đủ: trình duyệt cũng cần cụ thể rằng máy chủ kiểm soát tên máy chủ yêu cầu và rằng một cơ quan chứng chỉ đáng tin cậy liên kết danh tính đó với một gốc được chấp nhận.
Cảnh báo có thể đến từ một chứng chỉ hết hạn, sự không khớp tên máy chủ, một chứng chỉ trung gian bị thiếu, một nhà phát hành không rõ, một chứng chỉ tự ký, một chứng chỉ bị thu hồi, một đồng hồ thiết bị không chính xác, hoặc một sản phẩm mạng thay thế chứng chỉ trang. Mã trình duyệt chính xác có ý nghĩa bởi vì mỗi nguyên nhân có một chủ sở hữu khác nhau.
Nhấp qua một cảnh báo có thể phơi bày thông tin xác thực và nội dung cho một điểm cuối không mong muốn. Phản ứng an toàn là kiểm tra tên máy chủ, nhà phát hành, thời gian hiệu lực, và chuỗi; so sánh với một thiết bị và mạng tin cậy khác; và để quản trị viên trang hoặc mạng sửa chữa con đường tin cậy.
Ý Nghĩa Trực Tiếp Của Một Lỗi Chứng Chỉ
Một lỗi chứng chỉ có nghĩa là khách hàng không thể xác thực chứng chỉ của máy chủ cho danh tính HTTPS yêu cầu theo các quy tắc tin cậy và chính sách của nó. RFC 5280 định nghĩa chứng chỉ Internet và hồ sơ danh sách thu hồi chứng chỉ được sử dụng để xây dựng và xác thực các đường chứng nhận.
Các trình duyệt đánh giá một số thuộc tính cùng nhau: tên máy chủ yêu cầu phải khớp với một danh tính trong chứng chỉ, thời gian hiện tại phải nằm trong khoảng tính hợp lệ của chứng chỉ, chữ ký và mục đích phải chấp nhận được, và chuỗi phải đạt đến một gốc tin cậy. Sự cố trong bất kỳ kiểm tra cần thiết nào cũng dừng HTTPS tin cậy ngay cả khi máy chủ có thể tiếp cận.
Các Trình Duyệt Xác Thực Một Chứng Chỉ Như Thế Nào
Trong quá trình bắt tay TLS, máy chủ gửi chứng chỉ lá của nó và thường là các chứng chỉ trung gian cần thiết để xây dựng một đường dẫn. Trình duyệt kiểm tra chữ ký từ lá hướng đến một gốc tin cậy vốn đã có trong kho niềm tin của nó. Máy chủ thường không gửi gốc tự nó.
Trình duyệt sau đó kiểm tra xem tên máy chủ yêu cầu có xuất hiện trong các tên thay thế chủ thể của chứng chỉ hay không, liệu khoảng thời gian hiệu lực bao gồm thời gian hiện tại, liệu việc sử dụng khóa và việc sử dụng khóa mở rộng có cho phép xác thực máy chủ hay không, và liệu các chính sách thu hồi và nền tảng áp dụng có đạt yêu cầu hay không.
Kiểm tra TLS doanh nghiệp cố ý thay đổi con đường này bằng cách trình bày một chứng chỉ được ký bởi một gốc do tổ chức kiểm soát. Điều này có thể hợp pháp trên các thiết bị được quản lý, nhưng gốc phải được triển khai qua quản lý được phép. Nếu một thiết bị cá nhân đột nhiên nhìn thấy cùng một nhà phát hành không rõ trên nhiều trang, coi nó như một sự kiện bảo mật thiết bị hoặc mạng.
| Giai đoạn bắt tay | Kết quả mong đợi | Gợi ý thất bại |
|---|---|---|
| Danh tính | Tên máy chủ khớp với tên chứng chỉ | Không khớp tên chung hoặc tên thay thế chủ thể |
| Thời gian | Thời gian hiện tại nằm trong khoảng thời gian hợp lệ | Chứng chỉ hết hạn hoặc chưa hợp lệ |
| Con đường tin cậy | Chuỗi đạt đến một gốc tin cậy | Nhà phát hành không rõ hoặc bị thiếu trung gian |
| Chính sách | Kiểm tra việc sử dụng, chữ ký và thu hồi đạt yêu cầu | Việc sử dụng không được hỗ trợ, chữ ký yếu, hoặc trạng thái bị thu hồi |
Các Danh Mục Lỗi Chứng Chỉ Thường Gặp
Mã lỗi và phạm vi qua các trang thường tiết lộ xem lỗi thuộc về một máy chủ, một thiết bị, hay con đường mạng nào.
Chứng chỉ hết hạn hoặc chưa hợp lệ
Chứng chỉ máy chủ ở ngoài khoảng thời gian hợp lệ của nó, hoặc đồng hồ của máy khách không đúng. So sánh ngày chứng chỉ với một nguồn thời gian tin cậy.
Không khớp tên máy chủ
Chứng chỉ không bao gồm hostname đã yêu cầu. Điều này thường xảy ra do định tuyến máy chủ ảo sai, một liên kết bộ cân bằng tải không chính xác, hoặc truy cập bằng một bí danh không được hỗ trợ.
Nhà phát hành không xác định
Trình duyệt không thể xây dựng chuỗi đến một gốc tin cậy. Máy chủ có thể bỏ qua một trung gian, hoặc tổ chức phát hành có thể là riêng tư và không được cài đặt trên thiết bị.
Chứng chỉ tự ký
Lá ký tự bản thân và không phải là một chỗ neo tin cậy được chấp nhận. Điều này có thể phù hợp trong một phòng thí nghiệm được kiểm soát nhưng không tự động đáng tin cậy trên web công cộng.
Giấy chứng nhận bị thu hồi hoặc bị từ chối theo chính sách
Một chứng chỉ có thể bị từ chối vì nó đã bị thu hồi, sử dụng chữ ký không chấp nhận, thiếu mục đích sử dụng cần thiết, hoặc không tuân thủ chính sách bảo mật cụ thể của trình duyệt.
Kiểm tra HTTPS hoặc cổng captive
Một thiết bị mạng có thể thay thế chứng chỉ, và một cổng đăng nhập Wi-Fi có thể chặn yêu cầu ban đầu. Người phát hành và phạm vi đa trang web phơi bày mẫu này.
Đọc Mã Lỗi và Chứng Chỉ Trước Khi Thay Đổi Tin Cậy
Một cuộc điều tra chứng chỉ nên bảo tồn cảnh báo và xác định quy tắc xác thực nào đã thất bại.
- Xác minh tên máy chủ yêu cầu. Kiểm tra chính tả, các bí danh không được hỗ trợ và các chuyển hướng đến một máy chủ không được chứng nhận bởi chứng chỉ.
- Ghi lại mã trình duyệt. Quyền hạn không hợp lệ, tên không hợp lệ, đã hết hạn, chữ ký yếu và lỗi minh bạch mô tả các giai đoạn xác thực khác nhau.
- Kiểm tra lá và chuỗi. Lưu ý các tên thay thế chủ thể, nhà phát hành, tính hợp lệ, cách sử dụng, chữ ký, chuỗi trung gian và mỏ neo tin cậy được chọn bởi khách hàng.
- Kiểm tra đồng hồ thiết bị. Sử dụng một nguồn thời gian đáng tin cậy và xác nhận múi giờ trước khi coi ngày hết hạn là một lỗi của máy chủ.
- So sánh một thiết bị hiện tại khác. Phạm vi một thiết bị gợi ý về một vấn đề liên quan đến kho tin cậy, đồng hồ, sản phẩm bảo mật hoặc cấu hình thiết bị được quản lý.
- So sánh một mạng lưới đáng tin cậy khác. Nếu nhà phát hành thay đổi giữa các mạng, hãy điều tra các cổng captive, VPN và kiểm tra TLS với quản trị viên.
- I'm ready to assist with the translation. Please provide the text you would like me to translate. Các chủ sở hữu trang web nên xác minh tính nhất quán của chứng chỉ và chuỗi qua các vùng, bộ cân bằng tải, IPv4, IPv6 và các slot triển khai.
Mô hình xác thực đường dẫn trong Chứng chỉ internetHướng dẫn code chứng chỉ của Chrome trong Giúp đỡ lỗi chứng chỉ Chrome, và chẩn đoán phát hành của Mozilla trong Hướng dẫn lỗi chứng chỉ Mozilla hỗ trợ kiểm tra danh tính, thời gian, niềm tin và chính sách một cách riêng biệt.
Phản hồi an toàn đối với cảnh báo chứng chỉ trình duyệt
Bảo vệ kiểm tra danh tính trước; sự tiện lợi không nên vượt qua bằng chứng về máy chủ và mạng.
- Xin đừng nhập thông tin xác thực. Dừng lại trước khi đăng nhập, thanh toán, hoặc dữ liệu riêng tư trong khi cảnh báo chứng chỉ chưa được giải quyết.
- Sửa đồng hồ thiết bị. Ngày, giờ hoặc múi giờ sai có thể khiến nhiều chứng chỉ hợp lệ bị lỗi.
- Đăng nhập vào cổng captive thông qua quy trình được phê duyệt của nó. Wi-Fi công cộng có thể chặn HTTPS cho đến khi việc đăng ký mạng hoàn tất.
- Xác nhận chứng chỉ được quản lý với người quản trị. Cài đặt các root riêng tư chỉ từ một kênh tổ chức đáng tin cậy với mục đích được ghi chép.
Cách Chủ Sở Hữu Trang Web Sửa Lỗi Chứng Chỉ
Bảo trì phải khôi phục một chuỗi hợp lệ và liên kết tên miền trên mọi điểm cuối phục vụ tên miền đó.
Gia hạn trước khi hết hạn và triển khai chứng chỉ lá cùng với chuỗi trung gian cần thiết. Xác nhận rằng khóa riêng tương ứng, rằng quyền tệp cho phép dịch vụ TLS sử dụng nó, và rằng mọi bộ cân bằng tải hoặc khu vực biên đều nhận được phiên bản như mong muốn.
Bao gồm mọi tên máy chủ được hỗ trợ rõ ràng trong chứng chỉ và định tuyến SNI đến máy chủ ảo đúng. Chỉ chuyển hướng các bí danh sau khi kết nối TLS của chúng thành công, vì trình duyệt xác thực chứng chỉ bí danh trước khi nó có thể nhận được một chuyển hướng HTTP.
Giám sát thời hạn chứng chỉ, tính nhất quán chuỗi, phạm vi tên máy chủ và nhà phát hành được phục vụ từ bên ngoài mạng sản xuất. Các kiểm tra triển khai nên kiểm tra cả hai loại địa chỉ và tất cả các khu vực hoạt động để một điểm cuối cũ không thể ẩn náu phía sau một nút chính khỏe mạnh.
Lỗi chứng chỉ so với các lỗi kết nối bảo mật gần đây
Trình duyệt có thể thất bại trong việc xác thực danh tính, đàm phán TLS, vận chuyển, hoặc HTTP sau khi mỗi lớp trước đó thành công.
| Triệu chứng | Lớp chính | Điểm chú ý chẩn đoán |
|---|---|---|
| Lỗi chứng chỉ | Xác thực danh tính máy chủ thất bại | Tên máy chủ, thời gian, chuỗi, nhà phát hành, chính sách |
| Lỗi bắt tay SSL | Đàm phán TLS không hoàn thành | Phiên bản, thuật toán, SNI, chứng chỉ, xác thực khách hàng |
| Kết nối bị đặt lại | Vận chuyển kết thúc đột ngột | Bằng chứng đặt lại cực hoặc trung gian |
| Lỗi HTTP | TLS thành công và máy chủ đã trả về trạng thái | Hành vi ứng dụng hoặc cổng |
Lỗi chứng chỉ trong quy trình làm việc dựa trên trình duyệt
Cái Tài liệu trình duyệt thu thập không rác mô tả bề mặt kết nối trình duyệt được quản lý. Một bộ thu thập dựa trên trình duyệt nên duy trì việc xác thực chứng chỉ bình thường và phân loại cảnh báo chứng chỉ là một lỗi kết nối bảo mật thay vì ép buộc trích xuất thông qua một phiên không tin cậy.
Ghi lại tên máy chủ, lỗi trình duyệt, nhà phát hành, siêu dữ liệu hiệu lực, và liệu một mạng tin cậy khác có thay đổi chuỗi hay không. Giữ thông tin chứng chỉ miễn phí khỏi khóa riêng và thông tin xác thực phiên. Nếu chứng chỉ mục tiêu không hợp lệ, dừng công việc và báo cáo khuyết điểm cho chủ sở hữu trang web.
Đối với các hệ thống nội bộ được ủy quyền sử dụng các rễ riêng tư, triển khai lòng tin thông qua cấu hình thiết bị được quản lý và tài liệu hóa phạm vi. Không bao giờ đặt khóa rễ riêng tư vào công nhân thu thập, kho lưu trữ, hoặc nhắc nhở tự động.
Cảnh báo chứng chỉ bảo vệ danh tính máy chủ
Một lỗi chứng chỉ có nghĩa là trình duyệt không thể chứng minh rằng điểm cuối HTTPS là trang được truy cập theo chính sách tin cậy của nó. Tên máy chủ, thời gian, chuỗi, nhà phát hành, cách sử dụng, thu hồi, và sự can thiệp mạng là các loại chính.
Đọc mã cụ thể, kiểm tra chuỗi được phục vụ, so sánh phạm vi thiết bị và mạng, và sửa chữa điểm cuối hoặc cấu hình lòng tin được quản lý. Không xóa cảnh báo bằng cách yếu hóa xác thực hoặc tin tưởng một cơ quan không biết.
Sẵn sàng để làm cho các lỗi kết nối bảo mật dễ chẩn đoán hơn?
Nắm bắt ranh giới bắt tay, bằng chứng chứng chỉ, URL cuối cùng, và nội dung đã được hiển thị trước khi một lỗi trang bảo mật đến dữ liệu phía hạ lưu.
Đăng ký hôm nay và nhận 5 đô la tín dụng miễn phí — không cần thẻ tín dụng.
Yêu cầu tín dụng 5 đô la của bạn →Câu hỏi thường gặp
Liệu lỗi chứng chỉ có luôn là một nỗ lực hack không?
Một lỗi chứng chỉ không phải lúc nào cũng là một cuộc tấn công; các nguyên nhân phổ biến bao gồm hết hạn, sai sót tên máy chủ, thiếu trung gian, đồng hồ sai và kiểm tra doanh nghiệp có thẩm quyền. Nó vẫn loại bỏ sự đảm bảo danh tính tin cậy, vì vậy hãy điều tra trước khi tiếp tục.
Liệu một đồng hồ không chính xác có thể gây ra lỗi chứng chỉ không?
Một ngày, giờ, hoặc múi giờ không chính xác có thể làm cho một chứng chỉ hợp lệ xuất hiện đã hết hạn hoặc chưa hợp lệ. Điều chỉnh đồng hồ từ một nguồn tin cậy và tải lại trang.
Tại sao lỗi chứng chỉ xuất hiện trên nhiều trang cùng một lúc?
Phạm vi đa trang thường chỉ ra đồng hồ thiết bị, kho lòng tin, quét HTTPS của phần mềm chống virus, kiểm tra doanh nghiệp, phần mềm độc hại, VPN, hoặc cổng captive hơn là lỗi chứng chỉ độc lập ở mọi trang.
Liệu một chuyển hướng có thể sửa lỗi không khớp chứng chỉ tên máy chủ không?
Một chuyển hướng không thể sửa lỗi không khớp chứng chỉ tên máy chủ đầu tiên vì kết nối TLS phải thành công trước khi trình duyệt có thể nhận chuyển hướng. Tên máy chủ gốc cũng cần một chứng chỉ hợp lệ.
Liệu các trình duyệt tự động có nên bỏ qua các lỗi chứng chỉ không?
Các trình duyệt tự động không nên bỏ qua các lỗi chứng chỉ cho việc thu thập sản xuất. Chúng nên ghi lại lỗi, bảo vệ thông tin xác thực, và chỉ tiếp tục sau khi trang web hoặc cấu hình lòng tin được ủy quyền được sửa chữa.