Certificats et confiance

Pendant la négociation, le serveur présente un certificat : un document indiquant pour quel hôte il est destiné, quand il expire et qui s’en porte garant.

N’importe qui peut en générer un en prétendant qu’il concerne n’importe quel hôte ; c’est donc la signature qui compte. Les certificats sont signés par une autorité de certification, et votre machine est fournie avec une liste des autorités auxquelles elle fait confiance :

ls -l /etc/ssl/certs/ca-certificates.crt

Votre client vérifie trois choses : que le certificat est signé par une autorité figurant dans cette liste, qu’il n’a pas expiré et que le nom qui y figure correspond à l’hôte que vous avez demandé. Si l’une de ces vérifications échoue, la connexion est interrompue.

C’est pourquoi ce dernier contrôle échoue souvent lorsqu’un service interne est accessible par son adresse IP, même avec un certificat valide : le certificat correspond à un nom, tandis que vous avez fourni un numéro.