abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 04:55 | Nová verze

    Byla vydána verze 4.0 multiplatformního integrovaného vývojového prostředí (IDE) pro rychlý vývoj aplikaci (RAD) ve Free Pascalu Lazarus (Wikipedie). Přehled novinek v poznámkách k vydání. Využíván je Free Pascal Compiler (FPC) 3.2.2.

    Ladislav Hagara | Komentářů: 0
    dnes 00:33 | Komunita

    Podpora Windows 10 končí 14. října 2025. Připravovaná kampaň Konec desítek (End of 10) může uživatelům pomoci s přechodem na Linux.

    Ladislav Hagara | Komentářů: 4
    včera 23:22 | Pozvánky

    Již tuto středu proběhne 50. Virtuální Bastlírna, tedy dle římského číslování L. Bude L značit velikost, tedy více diskutujících než obvykle, či délku, neboť díky svátku lze diskutovat dlouho do noci? Bude i příští Virtuální Bastlírna virtuální nebo reálná? Nejen to se dozvíte, když dorazíte na diskuzní večer o elektronice, softwaru, ale technice obecně, který si můžete představit jako virtuální posezení u piva spojené s učenou

    … více »
    bkralik | Komentářů: 0
    včera 22:33 | IT novinky

    Dle plánu dnes končí služba Skype. Uživatelé mohou pokračovat v Microsoft Teams.

    Ladislav Hagara | Komentářů: 0
    včera 21:44 | IT novinky

    Český statistický úřad rozšiřuje Statistický geoportál o Datový portál GIS s otevřenými geografickými daty. Ten umožňuje stahování datových sad podle potřeb uživatelů i jejich prohlížení v mapě a přináší nové možnosti v oblasti analýzy a využití statistických dat.

    Ladislav Hagara | Komentářů: 1
    včera 12:33 | Zajímavý projekt

    Kevin Lin zkouší využívat chytré brýle Mentra při hraní na piano. Vytváří aplikaci AugmentedChords, pomocí které si do brýlí posílá notový zápis (YouTube). Uvnitř brýlí běží AugmentOS (GitHub), tj. open source operační systém pro chytré brýle.

    Ladislav Hagara | Komentářů: 1
    včera 12:11 | Pozvánky

    Jarní konference EurOpen.cz 2025 proběhne 26. až 28. května v Brandýse nad Labem. Věnována je programovacím jazykům, vývoji softwaru a programovacím technikám.

    Ladislav Hagara | Komentářů: 0
    4.5. 21:44 | Komunita

    Na čem aktuálně pracují vývojáři GNOME a KDE Plasma? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE Plasma.

    Ladislav Hagara | Komentářů: 0
    4.5. 14:22 | IT novinky

    Před 25 lety zaplavil celý svět virus ILOVEYOU. Virus se šířil e-mailem, jenž nesl přílohu s názvem I Love You. Příjemci, zvědavému, kdo se do něj zamiloval, pak program spuštěný otevřením přílohy načetl z adresáře e-mailové adresy a na ně pak „milostný vzkaz“ poslal dál. Škody vznikaly jak zahlcením e-mailových serverů, tak i druhou činností viru, kterou bylo přemazání souborů uložených v napadeném počítači.

    Ladislav Hagara | Komentářů: 29
    3.5. 22:33 | Nová verze

    Byla vydána nová major verze 5.0.0 svobodného multiplatformního nástroje BleachBit (GitHub, Wikipedie) určeného především k efektivnímu čištění disku od nepotřebných souborů.

    Ladislav Hagara | Komentářů: 2
    Jaký filesystém primárně používáte?
     (58%)
     (1%)
     (8%)
     (21%)
     (4%)
     (2%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 526 hlasů
     Komentářů: 22, poslední včera 10:06
    Rozcestník

    Dotaz: Měl by HTTPS server posílat celý cert chain?

    19.5.2014 08:53 Martin Beránek | skóre: 33 | blog: mousehouse | Brno
    Měl by HTTPS server posílat celý cert chain?
    Přečteno: 640×
    Nemohu nikde najít jednoznačnou odpověď na následující problém: mám serverový certifikát, ten je podepsaný autoritou a ta má nad sebou kořenový certifikát:
    server certificate
       |
       '- certificate authority
             |
             '- root certificate
    
    Měl by webový server posílat při navazování https všechny 3 certifikáty nebo jenom svůj serverový?

    PS: na problém jsem narazi při komunikaci v javě, kdy java truststore obsahuje pouze kořenový, server posílal jenom svůj a já nebyl schopen sestavit celý certchain pro ověření...

    never use rm after eight

    Řešení dotazu:


    Odpovědi

    Řešení 1× (Martin Beránek (tazatel))
    19.5.2014 09:39 Filip Jirsák
    Rozbalit Rozbalit vše Re: Měl by HTTPS server posílat celý cert chain?
    Ano, server by měl posílat celý certifikační řetězec. Ale není to žádná norma nebo standard, je to jen zkušenost z praxe, právě kvůli těm tří- a víceprvkovým řetězcům. Ale ne všichni to tak posílají, třeba online.postservis.cz posílá jen serverový certifikát, www.postsignum.cz posílá všechny tři, přitom obojí spadá pod Českou poštu.

    Mezi důvěryhodnými certifikačními autoritami můžete mít jenom kořenový certifikát (např. ve Windows je v standardní konfiguraci Thawte Premium Server CA). Váš serverový certifikát je ale podepsán mezilehlým certifikátem (např. Thawte SSL CA, ten už ve Windows normálně není, Firefox ho ale myslím ve standardním úložišti má). Když tenhle certifikát nepošlete ze serveru, webový prohlížeč (nebo jiný klient) nemá kde by jej získal, a validace vašeho serverového certifikátu se nepodaří.

    Předpokládám, že vy jste byl v roli klienta a jde o nějakou webovou službu – pak vám asi nezbývá, než si dát do truststore i ten mezilehlý certifikát. Respektive záleží na tom, jaký máte se serverem vztah a o jak důležité spojení jde. Pokud můžete být dopředu informován o změnách certifikátů a na bezpečnosti opravdu záleží, doporučuju ověřovat přímo serverový certifikát a na certifikační autority se vykašlat. Pokud tuhle možnost nemáte, dal bych do trustore certifikační řetězec od certifikátu, kterým je podepsán serverový certifikát (dá se předpokládat, že jím bude podepsán serverový certifikát i příště), až po kořenový certifikát CA. A jenom tyhle certifikáty, žádné jiné (pokládám za samozřejmé, že použijete vlastní trustore a nebudete spoléhat na to, co je zrovna náhodou v trustore dodávaném s Javou).

    Pokud byste to potřeboval na Javovském serveru, je potřeba dát pozor na to, že ten certifikační řetězec musí být v truststore vložen opravdu jako řetězec v jednom záznamu trustore, nemůže to být vloženo jako tři samostatné certifikáty. U klientského řešení to nevadí, tam se prostě považují za důvěryhodné všechny certifikáty v truststore.
    19.5.2014 15:12 Sten
    Rozbalit Rozbalit vše Re: Měl by HTTPS server posílat celý cert chain?
    Server by měl posílat svůj a mezilehlé CA, root je zbytečný. Buď jej klient má a důvěřuje mu, nebo ho nemá a prohlížeč tomu řetězu stejně nebude věřit.
    19.5.2014 16:12 alkoholik | skóre: 40 | blog: Alkoholik
    Rozbalit Rozbalit vše Re: Měl by HTTPS server posílat celý cert chain?
    Jak pise Sten, root je zbytecny. Intermediate cert tam davej. Starsi klienti je nemivaji v trusted store.
    Nedavno byla diskuze na dev@httpd.apache.org. Vyhledej si subjekt: mod_ssl patch: use new OpenSSL features to autofix cert chains:

    ..
    Some of the common server chain misconfigurations are a) including the self-signed root certificate in the chain and b) missing an intermediate certificate in the chain. a) is bad because it bloats the handshake and b) is bad because the client can't always validate the chain.
    ..


    19.5.2014 18:33 Filip Jirsák
    Rozbalit Rozbalit vše Re: Měl by HTTPS server posílat celý cert chain?
    Prohlížeč tomu řetězu sice věřit nebude, ale uživatel snáz ověří kořenový certifikát než nějaký mezilehlý. Na těch pár stech bajtech podle mne nemá smysl šetřit.
    19.5.2014 20:34 Sten
    Rozbalit Rozbalit vše Re: Měl by HTTPS server posílat celý cert chain?
    To by mě zajímalo, jak bude uživatel ověřovat kořenový certifikát?
    20.5.2014 06:41 Filip Jirsák
    Rozbalit Rozbalit vše Re: Měl by HTTPS server posílat celý cert chain?
    Uživatel by neměl mít v úložišti důvěryhodných certifikátů žádný certifikát, který sám neověřil. Ověřit ho může mnoha způsoby - telefonicky, na základě údajů na nějaké vizitce nebo letáku, podle nějakého seznamu důvěryhodných certifikátů...

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.