वैध सर्टिफ़िकेट के बावजूद F क्यों मिल सकता है

ताला बहुत संकीर्ण वादा है

ब्राउज़र ताला तब दिखाता है जब तीन बातें सही हों: सर्टिफ़िकेट किसी विश्वसनीय रूट तक जुड़ता है, देखे जा रहे होस्टनाम को कवर करता है, और समाप्त नहीं हुआ। बस इतना। यह नहीं बताता कि कौन सा प्रोटोकॉल संस्करण दिया जा रहा है, कौन से साइफ़र स्वीकार हैं, या सर्वर डाउनग्रेड हमलों के प्रति संवेदनशील है या नहीं।

TLS ग्रेड अलग प्रश्न पूछता है: यह एंडपॉइंट कितनी अच्छी तरह कॉन्फ़िगर है, केवल यह नहीं कि वह एन्क्रिप्टेड कनेक्शन बना सकता है या नहीं।

कम स्कोर देने वाली छह विफलताएँ

ये वे कारण हैं जो हमारे ट्रैक किए गए बीस हज़ार साइटों में सबसे अधिक दिखते हैं, लगभग कटौती के क्रम में।

• •सर्टिफ़िकेट समाप्त या अभी वैध नहीं — बाकी सब कुछ चाहे जैसा हो, स्वतः शून्य।
• •होस्टनाम बेमेल — सर्टिफ़िकेट वैध है पर किसी और नाम के लिए। डोमेन माइग्रेशन के बाद या जब CDN बिना SNI साझा सर्टिफ़िकेट देता है, आम।
• •अपूर्ण चेन — मध्यवर्ती गायब है, इसलिए कुछ क्लाइंट रूट तक पथ नहीं बना पाते। ब्राउज़र अक्सर इसे छिपा देते हैं; API क्लाइंट और मोबाइल स्टैक नहीं।
• •पुराने प्रोटोकॉल अभी चालू — आधुनिक संस्करणों के साथ TLS 1.0 या 1.1 देना स्कोर नीचे खींचता है, भले कोई उन्हें इस्तेमाल न करे।
• •कमज़ोर साइफ़र या फ़ॉरवर्ड सीक्रेसी नहीं — स्थिर RSA कुंजी विनिमय का अर्थ है कि चोरी हुई निजी कुंजी रिकॉर्ड किया गया ट्रैफ़िक डिक्रिप्ट कर देगी।
• •हैंडशेक विफल — सर्वर जाँच पूरी तरह अस्वीकार करता है, अक्सर सख़्त SNI आवश्यकता या ऐसे फ़ायरवॉल नियम से जो ग़ैर-ब्राउज़र क्लाइंट रोकता है।

क्रम से निदान

पहले सर्टिफ़िकेट समस्याओं को कॉन्फ़िगरेशन समस्याओं से अलग करें। यदि सर्टिफ़िकेट समाप्त या बेमेल है, तो ठीक होने तक बाकी कुछ मायने नहीं रखता। यदि सर्टिफ़िकेट ठीक है, तो अगला प्रोटोकॉल सूची देखें: सर्टिफ़िकेट वैधता के बाद कम स्कोर का सबसे बड़ा कारण यही है।

CertH की डोमेन रिपोर्ट दिखाती है कि पाँच मूल्यांकन क्षेत्रों में किसने अंक खोए, विशिष्ट कटौती और समाधान के साथ। यह आम तौर पर पूरा स्कैन हाथ से पढ़ने से तेज़ है।

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

SNI का जाल

कई डोमेन होस्ट करने वाले सर्वर को सही सर्टिफ़िकेट चुनने के लिए SNI चाहिए। कुछ सेटअप इसे अनिवार्य करते हैं और बिना भेजने वाले क्लाइंट अस्वीकार करते हैं — ब्राउज़र के लिए ठीक, पर मॉनिटरिंग टूल, पुराने Java क्लाइंट और कुछ API लाइब्रेरी टूट जाती हैं। यदि स्कैनर हैंडशेक विफलता बताए जबकि ब्राउज़र सामान्य चलें, तो पहले यही देखें।

FAQ