SSL 신뢰 체인 인증

Question

일반적인 질문이 있습니다. 이론적으로 RootCA -> IntermediateCA -> MyDomainCertificate 등의 트러스트 체인이있는 경우 인증서를 확인하기 위해 2 개의 인증서를 확인해야합니다. 누군가를 확인하기 위해 MyDomainCertificate.crt (X509v3)를 보낼 때 전체 체인을 보내야합니까? 확인 프로그램이 모든 중간 인증서를 자동으로 다운로드 할 수 있습니까?

1. 내가 누군가에게 MyDomainCertificate.crt를 보내고 그가 그것을 확인하고 싶어 :

   이 내가 그것을 작동 희망하는 방법입니다.

2. Verifier는 MyDomainCertificate.crt를 확인하기 위해 IntermediateCA.crt (내 발급자의 인증서)가 필요하므로 자동으로 다운로드합니다.
3. Verifier는 IntermediateCA.crt를 확인하기 위해 RootCA.crt가 필요합니다. 검증자는이 루트 인증서를 국지적으로 처리하여 검증 프로세스를 완료합니다.

예 :

1. 파이어 폭스는 모든 서버 인증서를 확인 할 수 있어야한다. firefox는 모든 중간 인증서를 자동으로 다운로드 할 수 있습니까, 아니면 모든 서버가 완전한 트러스트 체인을 전송합니까?

2. 클라이언트 인증이있는 경우 Tomcat이 모든 중간 인증서를 자동으로 다운로드합니까? 아니면 모든 클라이언트가 인증서의 완전한 트러스트 체인을 보내나요?

누군가 내 이론/실습 혼란을 도울 수 있기를 바랍니다. 감사!

Answer 1

SSL을 구성하려면 항상 중간 인증서 (트러스트 체인)를 설치해야합니다. 일부 브라우저에는 루트 인증서 만 있고 중간 인증서가 없으므로 웹 서버는 중간 인증서의 복사본을 클라이언트에 보내야합니다.

openssl을 사용하여 SSL 구성을 확인할 수 있습니다. 이 게시물 읽기 : https://major.io/2012/02/07/using-openssls-s_client-command-with-web-servers-using-server-name-indication-sni/