Certyfikaty i zaufanie

Podczas uzgadniania połączenia serwer przedstawia certyfikat: dokument określający, dla jakiego hosta jest przeznaczony, kiedy wygasa i kto go poświadcza.

Każdy może wygenerować certyfikat, podając dowolnego hosta, dlatego liczy się podpis. Certyfikaty są podpisywane przez urząd certyfikacji, a na Twoim komputerze znajduje się lista zaufanych urzędów:

ls -l /etc/ssl/certs/ca-certificates.crt

Twój klient sprawdza trzy rzeczy: czy certyfikat został podpisany przez urząd z tej listy, czy nie wygasł oraz czy nazwa na nim jest zgodna z nazwą hosta, o którą prosisz. Jeśli którykolwiek z tych warunków nie jest spełniony, połączenie zostaje przerwane.

To ostatnie sprawdzenie wyjaśnia, dlaczego dostęp do usługi wewnętrznej za pomocą jej adresu IP często kończy się niepowodzeniem nawet wtedy, gdy certyfikat jest prawidłowy: certyfikat jest wystawiony na nazwę, a Ty podałeś numer.