Chứng chỉ và độ tin cậy

Trong quá trình bắt tay, máy chủ đưa ra một chứng chỉ: tài liệu cho biết chứng chỉ dành cho máy chủ nào, khi nào hết hạn và ai xác nhận chứng chỉ đó.

Bất kỳ ai cũng có thể tạo chứng chỉ và tuyên bố rằng chứng chỉ đó dành cho bất kỳ máy chủ nào, vì vậy chữ ký mới là yếu tố quan trọng. Các chứng chỉ được ký bởi cơ quan cấp chứng chỉ (Certificate Authority), và máy của bạn có sẵn danh sách các cơ quan mà nó tin cậy:

ls -l /etc/ssl/certs/ca-certificates.crt

Ứng dụng khách của bạn kiểm tra ba điều: chứng chỉ được một cơ quan có trong danh sách đó ký, chứng chỉ chưa hết hạn và tên trên chứng chỉ khớp với máy chủ mà bạn yêu cầu. Chỉ cần một điều không đạt là kết nối sẽ dừng.

Chính bước kiểm tra cuối cùng đó khiến dịch vụ nội bộ được truy cập bằng địa chỉ IP thường gặp lỗi ngay cả khi có chứng chỉ hợp lệ: chứng chỉ dành cho một tên miền, còn bạn lại yêu cầu một con số.