Čo je monitoring SSL certifikátu?
Monitoring SSL certifikátu je automatická kontrola TLS certifikátu, ktorý webová stránka poskytuje klientom. Pomáha odhaliť blížiacu sa expiráciu, nesúlad hostname, problémy s certifikačným reťazcom, dôveryhodnosťou a neočakávané zmeny certifikátu skôr, než ovplyvnia návštevníkov.
Čo je SSL certifikát?
TLS certifikát spája verejný kľúč s identitou, napríklad názvom domény, a používa sa pri vytváraní overeného HTTPS spojenia. Moderné weby používajú TLS, hoci pojem „SSL certifikát“ sa stále bežne používa.
Čo by mal monitoring SSL certifikátu kontrolovať?
Expirácia
Certifikát má definované obdobie platnosti. Monitoring môže upozorniť pred jeho expiráciou a poskytnúť čas na obnovenie alebo výmenu certifikátu.
Pokrytie hostname
Certifikát musí pokrývať hostname, ku ktorému sa pristupuje. Monitoring by mal overiť, že certifikát poskytovaný pre skutočný hostname zodpovedá očakávanej doméne.
Certifikačný reťazec
Server zvyčajne poskytuje certifikačný reťazec, ktorý klientovi umožní vytvoriť cestu k dôveryhodnému root certifikátu. Chýbajúci alebo nesprávny intermediate certifikát môže spôsobiť zlyhanie spojenia aj vtedy, keď samotný certifikát ešte neexpiroval.
Dôveryhodnosť
Certifikát môže byť v období platnosti a napriek tomu nemusí prejsť overením dôveryhodnosti. Externý monitoring by preto mal testovať certifikát podobne ako skutočný klient, nie kontrolovať iba dátumy.
TLS konfigurácia
TLS monitoring môže kontrolovať aj protokol a vlastnosti spojenia, ktoré server poskytuje. Monitoring certifikátu je iba jednou časťou širšej HTTPS konfigurácie.
Neočakávané zmeny
Certifikát môže byť vymenený ešte pred expiráciou. Monitoring môže pomôcť odhaliť neočakávané zmeny vydavateľa, identity, platnosti alebo certifikačného reťazca.
Prečo je expirácia certifikátu dôležitá?
Po exspirácii verejne dôveryhodného certifikátu môžu klienti HTTPS spojenie odmietnuť alebo zobraziť bezpečnostné upozornenie. Problém sa ľahko prehliadne, keď sa certifikáty obnovujú automaticky, ale obnova zlyhá alebo sa nasadí nesprávny certifikát.
Not Before → Not After
Prečo je dôležitý hostname?
Platný certifikát automaticky neplatí pre každý hostname. Požadovaný hostname musí byť pokrytý identitou certifikátu, zvyčajne prostredníctvom rozšírenia Subject Alternative Name. Certifikát teda môže byť platný a dôveryhodný, ale nesprávny pre konkrétny navštívený hostname.
example.com · www.example.com · *.example.com
Prečo je dôležitý certifikačný reťazec?
TLS klient potrebuje vytvoriť platnú certifikačnú cestu. Server má zvyčajne poskytnúť certifikáty potrebné na jej vytvorenie okrem dôveryhodného root certifikátu, ktorý je už v klientovi. Nesprávne nakonfigurovaný reťazec môže rozbiť HTTPS aj vtedy, keď dátumy certifikátu vyzerajú správne.
Čo v skutočnosti kontroluje prehliadač?
Prehliadač nekontroluje iba dátum expirácie. Pri overovaní HTTPS kontroluje identitu certifikátu, jeho platnosť, dôveryhodnostné vzťahy a vlastnosti TLS spojenia podľa svojich bezpečnostných pravidiel. Preto jednoduchá kontrola typu „platný ešte 30 dní“ nestačí na spoľahlivý monitoring.
Ako často kontrolovať SSL?
SSL kontroly by mali prebiehať dostatočne pravidelne na zachytenie problémov s certifikátom aj neočakávaných zmien ešte predtým, než ovplyvnia používateľov. Časté externé kontroly zároveň znižujú riziko, že sa problém odhalí až po sťažnostiach návštevníkov.
Čo robiť, keď sa certifikát zmení?
Najprv zistite, či bola zmena očakávaná. Automatická obnova certifikátu a plánovaná migrácia sú bežné. Neočakávanú zmenu vydavateľa, pokrytia hostname, platnosti alebo reťazca treba preveriť spolu s poslednými deploymentmi, CDN, reverse proxy a systémami správy certifikátov.
Ako Viglar monitoruje SSL
Viglar kontroluje SSL/TLS certifikát, ktorý je verejne dostupný z vašej webovej stránky, a sleduje jeho platnosť a konfiguráciu zvonka vašej infraštruktúry. Dostávate tak nezávislý pohľad na to, čo skutočne dostávajú návštevníci.
Chcete skontrolovať svoj web?
Spustite rýchlu externú kontrolu cez Viglar a pozrite si aktuálne viditeľné SSL, DNS a bezpečnostné signály vášho webu.
Skontrolovať web