SSL Axtarışı

SSL Axtarışı göstərilən host və port üçün SSL/TLS sertifikatının etibarlılıq tarixlərini, imza növünü və sertifikatı verən qurumun məlumatlarını əldə edən pulsuz alətdir.

SSL sertifikatı axtarışı nəyi yoxlayır?

Bu alət müştəri seçilmiş host və portla təhlükəsiz bağlantı qurmağa başlayanda serverin təqdim etdiyi sertifikatı yoxlayır. Sertifikat adi HTTPS səhifə məzmunu ötürülməzdən əvvəl, TLS bağlantısının qurulması zamanı göndərilir.

Hazırkı təhlükəsiz bağlantılarda adətən TLS istifadə olunsa da, SSL adı hələ də geniş yayılıb. Server sertifikatlarının əksəriyyəti X.509 standartına uyğundur və açıq açarı bir və ya bir neçə identifikatorla əlaqələndirir. Sertifikat CA tərəfindən verilibsə, sertifikat mərkəzi onu rəqəmsal şəkildə imzalayır. Bunun sayəsində müştərilər sertifikatı verən qurumu təsdiqləyə və sertifikat yolunun yoxlanması zamanı icazəsiz dəyişiklikləri aşkarlaya bilirlər.

SSL sertifikatını necə yoxlamaq olar?

Serverin host adını Host, uyğun şəbəkə portunu isə Port sahəsinə daxil et və axtarışı başlat.

1. Səhifə yolu, sorğu sətri və ya fraqment olmadan www.example.co.uk kimi host adı yaz.
2. Təhlükəsiz xidmətin dinlədiyi portu göstər. HTTPS üçün standart port 443-dür, lakin başqa xidmət fərqli portdan istifadə edə bilər.
3. Qaytarılan sertifikat məlumatlarını gözlədiyin host adı və server konfiqurasiyası ilə müqayisə et.

Məsələn, www.example.co.uk hostu və 443 portu üzrə uğurlu axtarış sertifikata aid beş etiketli sahə qaytarır. Eyni hostun 8443 portunda yoxlanması başqa xidmət son nöqtəsinə müraciət edir və buna görə fərqli sertifikat qaytara bilər.

Host adlarında boşluq və URL yolu ola bilməz. Nöqtə və defis host adlarında normal simvollardır. Diakritik işarəli və ya latın qrafikasında olmayan adlar isə DNS-də IDNA formatında, çox vaxt Punycode adlandırılan formada göstərilir. Boş host adı və ya port heç bir son nöqtəni müəyyən etmir. TCP portu 1-dən 65 535-dək rəqəm olmalıdır. Çox uzun adlar da DNS məhdudiyyətlərinə uyğun gəlməlidir. Hər etiket üçün maksimum uzunluq 63 oktetdir.

SSL Axtarışı serverdə işləyir. Daxil etdiyin host və port məlumatları HTTPS üzərindən serverə ötürülür və saxlanmır.

SSL sertifikatı nəticəsini necə oxumaq olar?

Əvvəlcə tarixlərə bax. Sonra sertifikatı hansı sertifikat mərkəzinin verdiyini müəyyənləşdirmək üçün təşkilat və ümumi ad sahələrindən istifadə et. İmza növü isə əlavə texniki məlumat verir.

Bu sahələr sertifikatın tam etibarlı olduğunu təsdiqləmir. Tam yoxlama zamanı Subject Alternative Names, sertifikat zənciri, sertifikatı verən qurum, ləğv statusu və müştərinin saatı da nəzərə alınır. Təkcə təşkilat sahəsi saytı kimin idarə etdiyini sübut etmir.

Nasazlıqların aradan qaldırılması ssenariləri

• Yeniləmə baş tutmamış kimi görünür. Nginx və ya Apache üçün yeni sertifikat təyin edilib, amma köhnə bitmə tarixi qaytarılırsa, xidmətin yenidən yükləndiyini və yük balanslaşdırmasında iştirak edən bütün serverlərdə yeni faylların olduğunu yoxla.
• DNS dəyişikliyindən sonra sertifikat xəbərdarlığı göründü. Qaytarılan tarixləri və sertifikatı verən qurumu köhnə və yeni hostinq platformalarında gözlənilən sertifikatla müqayisə et. Fərqli sertifikat verən qurum host adının hələ də əvvəlki serverə yönəldiyini göstərə bilər.
• CDN və ya proksi yanlış sertifikat göstərir. Cloudflare kimi xidmətlər TLS bağlantısını əsas serverdən ayrıca sonlandıra bilər. Ziyarətçilərə əsas serverin sertifikatının təqdim edildiyini fərz etmək əvəzinə, açıq host adını və portu yoxla.

Seçilmiş portda birbaşa TLS istifadə edən poçt xidmətini də yoxlamaq olar. TLS bağlantısından əvvəl protokola xas STARTTLS əmri tələb edən xidmətlər, məsələn, 25 və 587 portlarında işləyən SMTP, ümumi sertifikat axtarışı ilə işləməyə bilər. Bu axtarış həmçinin MX qeydləri, SPF, DKIM, mesaj növbələri və ya rədd edilmiş alıcılarla bağlı digər çatdırılma problemlərini müəyyən edə bilməz.

Yeniləmədən sonra niyə köhnə sertifikat görünür?

Yeniləmədən sonra köhnə sertifikatın görünməsinin əsas səbəbləri veb xidmətinin yenidən yüklənməməsi, paylanmış sistemdəki serverlərdən birinin yeni faylları almaması və ya CDN, yaxud yük balanslaşdırıcısı qovşağının əvvəlki sertifikatı təqdim etməsidir. Yeniləmə DNS və ya hostinq dəyişikliyi ilə eyni vaxta düşübsə, keşlənmiş DNS cavabları da axtarışı köhnə son nöqtəyə yönəldə bilər.

Sertifikatların özü DNS vasitəsilə yayılmır. DNS qeydlərinin keşdə qalma müddəti var və rekursiv rezolverlər həmin müddət bitənədək əvvəlki cavabı saxlaya bilər. Bu axtarış serverdə işlədiyi üçün onun rezolverində noutbuk, ofis şəbəkəsi və ya mobil bağlantındakından fərqli cavab keşlənə bilər.

Yük balanslaşdırıcıları və CDN kənar qovşaqları da oxşar vəziyyət yarada bilər. Bir qovşaq yeni, digəri isə hələ də köhnə sertifikatı təqdim edə bilər. Tapılan IP ünvanlarını qeyd et, müvafiq DNS keş müddəti bitdikdən sonra yoxlamaları təkrarla və mümkün olduqda hər bir arxa serverin və ya kənar qovşağın konfiqurasiyasını nəzərdən keçir.

Tez-tez verilən suallar

SSL Axtarışı sertifikat zəncirini göstərirmi?

Xeyr. Qaytarılan sahələrə aralıq sertifikatlar, kök etibar yolu, sertifikatı verən qurum haqqında ətraflı məlumat və ləğv məlumatları daxil deyil. Tam zənciri yoxlamaq üçün brauzerin sertifikat görüntüləyicisindən və ya komanda sətrində işləyən TLS müştərisindən istifadə et.

Wildcard sertifikatını yoxlamaq mümkündür?

Bəli. Axtarış serverin təqdim etdiyi istənilən sertifikatı, o cümlədən *.example.co.uk kimi ad üçün verilmiş wildcard sertifikatını əldə edir. Wildcard adı sertifikatın subyekt sahələrində yerləşdiyindən sertifikatı verən quruma yönəlmiş bu nəticə sahələrində görünmür. Buna baxmayaraq, tarixlər və imza növü təqdim edilən sertifikata aiddir. Wildcard adətən host adının yalnız bir səviyyəsinə uyğun gəlir. Buna görə shop.example.co.uk ünvanını əhatə edə bilər, amma checkout.shop.example.co.uk ünvanını əhatə etmir.

SSL sertifikatından sayt sahibini müəyyən etmək olar?

Xeyr. Bir çox sertifikat hüquqi təşkilatın adını göstərmədən domenə nəzarəti təsdiqləyir. Domen qeydiyyatı və ya şəbəkə sahibliyi haqqında məlumat üçün Whois Axtarışı və IP Axtarışı araşdırmanın fərqli hissələrini əhatə edir.

Niyə başqa yoxlama aləti fərqli verilmə və ya bitmə tarixi göstərir?

X.509 etibarlılıq dəyərləri dəqiq vaxtı göstərir, yoxlama alətləri isə onları UTC ilə göstərə və ya başqa saat qurşağına çevirə bilər. Gecə yarısı ətrafında edilən çevirmə nəticəsində əsas zaman nişanı eyni qalsa belə, təqvim tarixi bir gün əvvəl və ya sonra görünə bilər.

Bu alət vaxtı bitmiş sertifikatı yeniləyir və ya düzəldirmi?

Xeyr. Alət yalnız sertifikat məlumatlarını əldə edir. Sertifikat sertifikat mərkəzi, hostinq idarəetmə paneli və ya avtomatlaşdırılmış sertifikat müştərisi vasitəsilə yenilənməlidir. Sonra sertifikat quraşdırılmalı və tələb olunduqda xidmət yenidən yüklənməlidir.

Son yoxlamalar

Xəbərdarlığın səbəbini araşdırarkən dəqiq host adını, portu, qaytarılan tarixləri və sertifikatı verən qurumu qeyd et. DNS-i ayrıca yoxla, hər serverdə quraşdırılmış sertifikatı təsdiqlə və tarixlər düzgün görünsə də brauzerlər xəta bildirirsə, tam sertifikat zəncirini yoxla.