以下数据流对您来说是否安全？

信息安全 tls 证书
2021-09-08 03:39:31

我了解 SSL 的基本概念，但也许我没有抓住重点。请有人看一下服务器测试日志的以下部分，并告诉我它是否安全。我担心的是，虽然证书回调返回“true”，但您可以看到它在策略状态下声明RemoteCertificateNameMismatch.RemoteCertificateChainErrors并提到不受信任的根。

1:07:04 AM: SSL: secure.newsfarm.ams2.highwinds-media.com:   Certificate: E=support@sslusenet.com, CN=*.sslusenet.com, OU=sslusenet.com, O=sslusenet.com, L=Phoenix, S=AZ, C=US
9/7/2012 1:07:04 AM: SSL: secure.newsfarm.ams2.highwinds-media.com:   Policy status: RemoteCertificateNameMismatch, RemoteCertificateChainErrors
9/7/2012 1:07:04 AM: SSL: secure.newsfarm.ams2.highwinds-media.com:   Chain status: UntrustedRoot
9/7/2012 1:07:04 AM: SSL: CertificateCallback returns True
9/7/2012 1:07:04 AM: SSL: secure.newsfarm.ams2.highwinds-media.com:   KeyExchange: RsaKeyX (1024 bits)
9/7/2012 1:07:04 AM: SSL: secure.newsfarm.ams2.highwinds-media.com:   Cipher: Aes128 (128 bits)
9/7/2012 1:07:04 AM: Nntp: < highwinds: 200 Welcome to Virgin Media
9/7/2012 1:07:04 AM: Nntp: > highwinds: AUTHINFO USER bnv *******@binverse.com
9/7/2012 1:07:05 AM: Nntp: < highwinds: 381 PASS required
9/7/2012 1:07:05 AM: Nntp: > highwinds: AUTHINFO PASS ***
9/7/2012 1:07:05 AM: Nntp: < highwinds: 281 Welcome to Binverse.com (No Posting)

安全考虑是回调正在检查的内容，还是实际上存在来自具有链错误的不受信任的根的名称不匹配，并且无论如何回调都只是返回“true”？

3个回答

尽管您显示的日志文件相对晦涩难懂，但可以在前几行中看到一些可疑的东西：

  • 显然，以该名称联系的服务器secure.newsfarm.ams2.highwinds-media.com通过发送用于 的证书进行响应，该证书*.sslusenet.com与服务器名称不匹配。

  • 这UntrustedRoot部分暗示了一个证书链，它以一个不受信任的根证书开头——即，一个对客户端没有任何证明的链。

因此，这就像绕过 HTTPS 网站上的安全警告。这很容易受到主动攻击者的攻击。

该日志取自客户端内部的错误诊断。它检查了 rotex 并发现了这个：

这是否会导致名称差异：69.16.160.0/21 Puregig AS11588

基本记录名称 IP 反向路由 AS ns2.sslusenet.com a 69.16.163.16 美国（无） 69.16.160.0/21 Puregig AS11588 HIGHWINDS Network Group, Inc.

如果出现问题，为什么它仍然会返回“true”。如果您说的是真的，那么每个连接到服务器的 usenet 客户端都存在根本缺陷，那么就 SSL 而言？

仅当客户端信任根时才重要。

无论您使用什么来捕获流量，都没有配置为信任根。但实际的客户端（可能是 Web 浏览器）可能会这样做。

如果到根的链是有效的并且根是可信的，那么客户端将认为它是可信的。

但你真正的问题是：数据流安全吗？

如果您知道您将该证书和密钥放在该服务器上，并且您知道它没有被泄露，那么无论根是否受信任都是安全的。

如果你自己没有把它放在那里，那么它就和你对“安全”的定义一样安全。您需要信任其他人才能安全地进行设置。根证书颁发机构应该为您提供保证。您（个人，而不是计算机配置）是否信任该证书颁发机构？

其它你可能感兴趣的问题
上一篇Windows Vista 用户登录完整性 下一篇Windows Server 的 IPSec 域隔离