証明書と信頼

ハンドシェイク中に、サーバーは証明書を提示します。これは、どのホスト向けのものか、いつ有効期限が切れるか、そして誰がその証明書を保証しているかを記載した文書です。

誰でも、任意のホストを名乗る証明書を生成できるため、重要なのは署名です。証明書には認証局による署名が付いており、コンピューターには信頼する認証局の一覧が用意されています。

ls -l /etc/ssl/certs/ca-certificates.crt

クライアントは次の3点を確認します。証明書がその一覧にある認証局によって署名されていること、有効期限が切れていないこと、そして証明書の名前が要求したホストと一致することです。どれか1つでも失敗すると、接続は停止します。

最後の確認があるため、IPアドレスでアクセスした内部サービスは、有効な証明書があっても失敗することがよくあります。証明書は名前に対して発行されているのに、あなたは数字を要求しているからです。