Certyfikaty i zaufanie

Podczas uzgadniania połączenia serwer przedstawia certyfikat: dokument określający, dla jakiego hosta został wystawiony, kiedy wygasa i kto go poświadcza.

Każdy może wygenerować certyfikat, podając w nim dowolnego hosta, dlatego liczy się podpis. Certyfikaty są podpisywane przez urząd certyfikacji, a na Twoim komputerze znajduje się lista zaufanych urzędów:

ls -l /etc/ssl/certs/ca-certificates.crt

Twój klient sprawdza trzy rzeczy: czy certyfikat jest podpisany przez urząd z tej listy, czy nie wygasł i czy podana na nim nazwa pasuje do hosta, o którego połączenie poproszono. Jeśli którykolwiek z tych warunków nie jest spełniony, połączenie zostaje przerwane.

Właśnie dlatego ostatnie sprawdzenie często kończy się niepowodzeniem, gdy łączysz się z usługą wewnętrzną przez jej adres IP, nawet jeśli ma ona prawidłowy certyfikat: certyfikat jest wystawiony na nazwę, a Ty podajesz numer.