Pasos para averiguar si un certificado SSL es confiable

Si ejecuta el siguiente comando, verá que cuando la persona que administra TLS para el servidor reemplazó el certificado de hoja (el certificado para el servidor mismo), no reemplazó la cadena (los certificados de las Autoridades de certificación que construyen la cadena de confianza).

echo |openssl s_client -connect www.prioenergie.de:443 -showcerts 2>&1 |grep -E '^ [0-9 ] (s|i):'

Específicamente, el certificado de hoja fue emitido por CN = thawte DV SSL CA - G2 , pero el primer certificado de CA en la cadena devuelta por el servidor es CN = Thawte DV SSL CA .

Lo más probable es que la persona que administra el servidor lo haya probado con Internet Explorer, que intenta ser permisivo con lo que acepta recorriendo el AIA si la cadena no coincide, pero que no sigue la especificación TLS y que no es compatible con la forma en que se comportan la mayoría de los clientes TLS (otros navegadores como Firefox, OpenSSL, NSS, las bibliotecas TLS de Java, etc.).

Recomendaría contactar a la compañía y avisarles que necesitan instalar la nueva cadena proporcionada por la Autoridad de Certificación (Thawte).

En este punto, debe tomar la decisión comercial. ¿Reduce su postura de seguridad para poder hacer negocios con esta empresa, basándose en la presunción de que esto es un error de configuración? ¿O decide que esto no es un riesgo aceptable y solo trata con la compañía a través de canales aceptables conocidos, como el número de teléfono / fax impreso en la guía telefónica?

Este es un error puramente técnico del lado de los administradores del sitio web. Esto no es un problema de seguridad.

Simplemente intercambiaron el certificado de la entidad final pero se olvidaron de intercambiar la cadena. Esto hace que parezca inválido para algunos navegadores.

Los estándares exigen que el servidor web presente esta cadena. Pero esto es una cortesía para el cliente y no una característica de seguridad. (Todos los miembros de la cadena son públicos de todos modos.)

Sin embargo, algunos navegadores pueden reparar estas cadenas rotas ("AIA chasing"), otros no. Estos no pueden verificar la confianza y mostrar una advertencia.

El bit interesante en el informe de SSL-Labs es esta línea:

enlace

  

Problemas de cadena Incompletos, Certificados adicionales

Ahora SSL-Labs puede realizar la persecución de AIA . Así es como pudo obtener el certificado etiquetado como "descarga adicional".

Los administradores cometieron un error. Es feo y debe ser arreglado. Pero no es un problema de seguridad.

El certificado no es válido. Por definición no puedes confiar en ello. Ese es el punto central de tener una cadena de certificados. En toda evidencia, simplemente ha sido configurado incorrectamente; Puede encontrar el mismo problema: desde el punto de vista del webmaster: aquí .

Puedes consultar a Thawte ... pero no aguanto la respiración por una respuesta. Probablemente sentirán, correctamente, que no es su problema.

Puede confiar en el proveedor "por fe" y aceptar temporalmente el certificado por el tiempo necesario para descargar su factura. Es bastante improbable que sea un sitio forjado; pero por si acaso, puede esperar un poco de tiempo para ver si solucionan el problema o, al menos, reconocerlo.