Реши задание на изображении
Кратко
Верхний вопрос: правильный вариант — TLS. HTTP сам шифрование не обеспечивает, а HTCPCP — шуточный протокол.
В сертификате должны быть отмечены четыре пункта:
- домены, для которых применим сертификат;
- данные выдавшего УЦ;
- подпись выдавшего УЦ;
- открытый ключ.
У тебя на скриншоте не отмечена подпись УЦ. MAC-адрес клиента и закрытый ключ в сертификате не содержатся.
По видимому сертификату:
CN=example.com subjectAltName=DNS:auth.example.comон подходит только для
auth.example.com, а не дляexample.comи не дляwww.example.com.
Почему так
Сертификат — это электронный документ, который связывает имя домена с открытым ключом. Выдав его, удостоверяющий центр ставит свою подпись, чтобы клиент мог проверить подлинность. Поэтому в сертификате есть:
- имя/домены владельца — через
subjectAltName; - данные УЦ-издателя;
- подпись УЦ;
- открытый ключ.
Закрытый ключ остаётся только на сервере: именно им сервер подтверждает, что у него есть соответствующая пара ключей. Передавать закрытый ключ клиенту в сертификате нельзя.
Как проверять соответствие домена сертификату
Смотри на subjectAltName — в первую очередь на значения DNS:.
- Если там есть
DNS:auth.example.com, сертификат действителен дляauth.example.com; example.comиwww.example.comс ним не совпадают;- если в сертификате есть SAN, то
CNобычно уже не считается главным ориентиром; *.example.comпокрываетwww.example.com,auth.example.com, но не самexample.comи неa.b.example.com.
Проверка результата
В первом задании должно быть выбрано ровно 4 пункта. Для видимого сертификата правильный домен — auth.example.com; для example.com и www.example.com нужен другой сертификат с соответствующим SAN.
Нижняя часть задания обрезана — можешь прислать её целиком с остальными доменами и сертификатами? Тогда я сопоставлю все пары точно.
Обсуждение
3 сообщенияЭто продолжение того же задания — теперь видно целиком. Вот полное решение.
1. Соответствие «домен → сертификат»
| Домен | Подходящий сертификат |
|---|---|
example.com |
нет подходящего |
www.example.com |
№ 2: CN=auth.example.com, subjectAltName=DNS:*.example.com |
auth.example.com |
№ 1: CN=example.com, subjectAltName=DNS:auth.example.com |
admin.www.example.com |
№ 3: CN=www.example.com, subjectAltName=DNS:*.www.example.com |
Если в задании один сертификат можно привязать к нескольким доменам, то к auth.example.com подходит ещё и № 2 (шаблон *.example.com его покрывает). Если привязка «один к одному» — оставляй как в таблице.
2. Какие поля обязательны в CSR
Отметь три пункта:
- ✅ Открытый ключ запрашивающего
- ✅ Подпись запрашивающего
- ✅ Домены, для которых должен быть применим сертификат
Не отмечать: закрытый ключ запрашивающего, данные целевого УЦ, подпись целевого УЦ.
Почему так
Про сертификаты. Главное правило: если в сертификате есть расширение subjectAltName (SAN), то CN при проверке не учитывается — сравнивают только с SAN.
- Сертификат № 1: SAN =
auth.example.com→ годится только дляauth.example.com. Это ловушка:CN=example.comвыглядит подходящим дляexample.com, но SAN его «перекрывает». - Шаблон
*.example.comзаменяет ровно одну метку передexample.com:www.example.com— да,auth.example.com— да;example.com— нет (сам домен шаблон не покрывает);admin.www.example.com— нет (пришлось бы заменитьadmin.www, а точка внутри*запрещена).
- Шаблон
*.www.example.comзаменяет одну метку передwww.example.com:admin.www.example.com— да;www.example.com— нет, тут нечего подставлять вместо*. Ещё одна ловушка:CN=www.example.comв третьем сертификате, но SAN важнее.
Про CSR. Запрос на подпись сертификата (PKCS#10) состоит из трёх обязательных частей: сведения о владельце (в том числе домены), открытый ключ и подпись, сделанная закрытым ключом заявителя.
- Закрытый ключ в CSR не передаётся — иначе терялся бы весь смысл. УЦ проверяет владение им косвенно: проверяет подпись запроса открытым ключом из этого же запроса.
- Данные УЦ и подпись УЦ появляются позже — уже в готовом сертификате, а не в запросе.
Проверка
example.com— ни в одном SAN его нет → сертификат не подходит, несмотря наCN=example.com.www.example.com—*.example.com, подставляемwww→ совпало.auth.example.com— точное совпадение с SAN первого сертификата.admin.www.example.com—*.www.example.com, подставляемadmin→ совпало.
Если хочешь, могу разобрать, как проверять сертификаты с шаблонами на других примерах — например, что покрывает *.example.com, а что нет.
