Lỗi chứng chỉ có thể xuất hiện dù host, port và thông tin xác thực proxy đều đúng. Một phép thử chạy được sau khi bỏ kiểm tra TLS không có nghĩa kết nối đã an toàn hoặc nguyên nhân đã được sửa.
Xác định chặng kết nối bị lỗi
Nếu dùng HTTPS proxy, có thể có TLS tới proxy và TLS tới website đích. Với HTTP proxy tạo tunnel CONNECT, phần HTTPS tới website vẫn cần được xác minh. Tài liệu curl phân biệt kiểm tra chứng chỉ máy chủ với chứng chỉ HTTPS proxy.
Ghi nguyên văn thông báo lỗi đã che thông tin tài khoản, hostname liên quan và thời điểm lỗi. Đừng chỉ ghi “SSL lỗi”, vì thông báo sai tên miền khác với lỗi không tìm được CA tin cậy.
Checklist kiểm tra
- Đối chiếu tên miền trong URL và tên được chứng chỉ bảo vệ. Không tự thay hostname bằng IP.
- Kiểm tra ngày giờ thiết bị và khoảng hiệu lực chứng chỉ.
- Kiểm tra chuỗi chứng chỉ mà dịch vụ cung cấp; đội quản trị cần xem có thiếu intermediate CA hay không.
- Xác định client dùng kho CA của hệ điều hành hay một bundle riêng.
- Với môi trường công ty, xác minh CA nội bộ qua kênh quản trị chính thức.
Ví dụ minh họa: trình duyệt chạy, script lỗi
Giả sử trình duyệt mở được một website nội bộ nhưng script báo không tin cậy CA. Hai ứng dụng có thể dùng kho chứng chỉ khác nhau. Kiểm tra tài liệu của thư viện và bundle đang được script sử dụng; không suy luận rằng proxy hoặc website chắc chắn bị hỏng.
Sửa trong phạm vi cần thiết
Nếu cần CA nội bộ, chỉ sử dụng bản đã được quản trị viên xác thực và áp dụng trong phạm vi phù hợp. Ghi lại nguồn, mục đích và cách khôi phục cấu hình. Khi lỗi ở chuỗi chứng chỉ của máy chủ, sửa tại máy chủ sẽ phù hợp hơn việc phát tán ngoại lệ cho mọi client.
Không tải chứng chỉ từ một trang cảnh báo rồi cài làm CA tin cậy. Không dùng cờ bỏ xác minh TLS làm cấu hình lâu dài, đặc biệt với đăng nhập, token hoặc giao dịch.
Xác minh sau sửa
Chạy lại yêu cầu khi xác minh chứng chỉ vẫn bật. Kiểm tra đúng hostname, đúng tác vụ và cả tuyến trực tiếp lẫn tuyến proxy nếu được phép. Kết quả thành công phải bao gồm phản hồi đúng nội dung, không chỉ việc lỗi TLS biến mất.
Đọc thêm cách bảo vệ thông tin xác thực proxy. Bài viết không khuyến nghị vượt cảnh báo bảo mật hay truy cập hệ thống ngoài phạm vi được cho phép.