صاحب الموضوع
#1
[giriş]
Günümüzde güvenli iletişimin temel taşlarından biri sertifika zincirinin doğrulanmasıdır. OpenSSL, bu işlemi komut satırından sade ve esnek biçimde gerçekleştirmenizi sağlar. Aşağıda adım adım bir senaryo üzerinden zincir doğrulama sürecini, hangi dosyaları kullanacağınızı ve olası hataları nasıl yorumlayacağınızı ele alıyorum. Önemli noktalar: kök sertifika (root CA) ile ara sertifikalar (intermediate CA) güvenilir bir sertifika zinciri oluşturmalı; sertifika mismatche veya süresi dolmuş öğeler zincirin doğrulanmasını bozar.
[ul]
Gerekli dosyalar ve hazırlık
Kök CA sertifikası (root CA) ve orta CA sertifikaları güvenilir konumlarda olmalı.
Kullanılan hedef sertifika
Doğrulamak istediğiniz sunucu sertifikası veya CSR’den üretim halinde bulunan sertifika.
Tam zincir yapısı
Root CA → Intermediate CA(s) → Leaf sertifika şeklinde bir zincir gerekir. Ara sertifikaların yer aldığı bir birleşik dosya veya dizin kullanabilirsiniz.
[/ul]
[paragraf_tarzi]Birincil yaklaşım, leaf sertifikasını doğrularken kök CA’yı güvenilir kökler kümesinde aramak ve ara sertifikaları güvenilir olmayan bağlantılar yerine “untrusted” parametresiyle birlikte sunmaktır. Bu komut, leaf-cert.pem’in zincirinin kök CA ile uyumlu olup olmadığını kontrol eder ve ara sertifikaların doğruluğunu zincir üzerinde aşamalı olarak yorumlar. Eğer zincirde eksik bir ara sertifika varsa veya sertifikaların süreleri geçmişse hata ile karşılaşılır; bu durumda kök ile ara sertifikaların sürümlerinin ve geçerlilik pencerelerinin güncel olduğundan emin olun. [/paragraf_tarzi]
[ul]
Birden çok ara sertifika olduğunda
Bağlamı düzgün kurmak için intermediarileri tek bir dosyada birleştirmek avantajlıdır: cat intermediate1.pem intermediate2.pem > all-intermediates.pem. Ardından:
openssl verify -CAfile root-ca.pem -untrusted all-intermediates.pem leaf-cert.pem.
Kök ve ara sertifikaların farklarını anlamak
Kök CA sertifikası güvenilir kökler dizininde (system trust store) veya özel bir CA store’da bulunur. Ara sertifikalar zincire sonradan eklenir ve leaf ile kök arasındaki yolu oluşturur.
Hata mesajlarını yorumlamak
certificate signature failure veya unable to verify leaf sonu genelde zincirde eksik veya yanlış sırayla bağlanmış ara sertifikalara işaret eder. revocation bilgisi (CRL/OCSP) geçerli değilse doğrulama başarısız olabilir.
[/ul]
[kapanis]
Bu süreç, güvenilir bir zincirin doğru yapılandırılması ile sertifika güvenilirliğini sağlayan temel bir adımıdır. Zincir kurulumunda özellikle ara sertifikaların eksiksiz ve güncel olması, hedef sertifikanın geçerlilik süresi ve imza algoritması ile uyumlu olması kritik rol oynar. Bu bağlamda sizin mevcut altyapınız için hangi zincir konfigürasyonunu kullandığınızı ve karşılaştığınız spesifik hata mesajlarını paylaşabilirsiniz.
Günümüzde güvenli iletişimin temel taşlarından biri sertifika zincirinin doğrulanmasıdır. OpenSSL, bu işlemi komut satırından sade ve esnek biçimde gerçekleştirmenizi sağlar. Aşağıda adım adım bir senaryo üzerinden zincir doğrulama sürecini, hangi dosyaları kullanacağınızı ve olası hataları nasıl yorumlayacağınızı ele alıyorum. Önemli noktalar: kök sertifika (root CA) ile ara sertifikalar (intermediate CA) güvenilir bir sertifika zinciri oluşturmalı; sertifika mismatche veya süresi dolmuş öğeler zincirin doğrulanmasını bozar.
[ul]
Kök CA sertifikası (root CA) ve orta CA sertifikaları güvenilir konumlarda olmalı.
Doğrulamak istediğiniz sunucu sertifikası veya CSR’den üretim halinde bulunan sertifika.
Root CA → Intermediate CA(s) → Leaf sertifika şeklinde bir zincir gerekir. Ara sertifikaların yer aldığı bir birleşik dosya veya dizin kullanabilirsiniz.
[/ul]
كود
1openssl verify -CAfile root-ca.pem -untrusted intermediate-ca.pem leaf-cert.pem[paragraf_tarzi]Birincil yaklaşım, leaf sertifikasını doğrularken kök CA’yı güvenilir kökler kümesinde aramak ve ara sertifikaları güvenilir olmayan bağlantılar yerine “untrusted” parametresiyle birlikte sunmaktır. Bu komut, leaf-cert.pem’in zincirinin kök CA ile uyumlu olup olmadığını kontrol eder ve ara sertifikaların doğruluğunu zincir üzerinde aşamalı olarak yorumlar. Eğer zincirde eksik bir ara sertifika varsa veya sertifikaların süreleri geçmişse hata ile karşılaşılır; bu durumda kök ile ara sertifikaların sürümlerinin ve geçerlilik pencerelerinin güncel olduğundan emin olun. [/paragraf_tarzi]
Örnek senaryo:
- root-ca.pem: kök sertifika
- intermediate-ca.pem: ara sertifikalar (birden fazla dosya veya tek birleşik dosya)
- leaf-cert.pem: doğrulanacak sertifika
Komut:
openssl verify -CAfile root-ca.pem -untrusted intermediate-ca.pem leaf-cert.pem
[ul]
Bağlamı düzgün kurmak için intermediarileri tek bir dosyada birleştirmek avantajlıdır: cat intermediate1.pem intermediate2.pem > all-intermediates.pem. Ardından:
openssl verify -CAfile root-ca.pem -untrusted all-intermediates.pem leaf-cert.pem.
Kök CA sertifikası güvenilir kökler dizininde (system trust store) veya özel bir CA store’da bulunur. Ara sertifikalar zincire sonradan eklenir ve leaf ile kök arasındaki yolu oluşturur.
certificate signature failure veya unable to verify leaf sonu genelde zincirde eksik veya yanlış sırayla bağlanmış ara sertifikalara işaret eder. revocation bilgisi (CRL/OCSP) geçerli değilse doğrulama başarısız olabilir.
[/ul]
[kapanis]
Bu süreç, güvenilir bir zincirin doğru yapılandırılması ile sertifika güvenilirliğini sağlayan temel bir adımıdır. Zincir kurulumunda özellikle ara sertifikaların eksiksiz ve güncel olması, hedef sertifikanın geçerlilik süresi ve imza algoritması ile uyumlu olması kritik rol oynar. Bu bağlamda sizin mevcut altyapınız için hangi zincir konfigürasyonunu kullandığınızı ve karşılaştığınız spesifik hata mesajlarını paylaşabilirsiniz.
