Mikä on SSL-varmenteen ketju? Opas ja vianmääritys

SSL-varmenteiden määrä maailmassa: yli 170 miljoonaa aktiivista (2024) ·
Luotettujen juurivarmenteiden määrä: noin 50–60 ·
Keskimääräinen ketjun pituus: 3–4 varmennetta ·
Ketjun validointiaika: alle 100 ms optimoidussa selaimessa

SSL-varmenteen ketju on kuin digitaalinen luottoketju: jokainen lenkki vahvistaa edellisen. Alla oleva taulukko kokoaa tärkeimmät luvut ja työkalut.

Mikä on varmenteen ketju SSL:ssä?

Varmenteen ketjun rakenne

SSL-varmenteen ketju on sarja digitaalisia varmenteita, jotka yhdistävät palvelimen varmenteen luotettuun juurivarmenteeseen (DNSimple-tuki (varmenteenantajan tukisivu)). Ketju koostuu tyypillisesti päätevarmenteesta (leaf certificate), yhdestä tai useammasta välivarmenteesta (intermediate certificate) ja juurivarmenteesta (root certificate). Juurivarmenne on itse allekirjoitettu ja se on luottamuksen ankkuri – kaikki muut varmenteet luottavat siihen.

Miksi ketjua tarvitaan

Ilman ketjua selain ei voisi tarkistaa, onko palvelimen varmenne oikeasti myönnetty luotetun tahon toimesta. Ketju mahdollistaa varmenteen myöntämisen ketjussa: varmenteenantaja (CA) ei itse allekirjoita kaikkia varmenteita, vaan se käyttää välivarmenteita, jotka on allekirjoitettu juurivarmenteella. Tämä jakaa riskiä ja helpottaa hallintaa.

Käytännössä tämä tarkoittaa: yksi puuttuva tai väärässä järjestyksessä oleva lenkki riittää katkaisemaan luottoketjun.

Mitä tarkoittaa self_signed_cert_in_chain?

Virheilmoituksen syyt

Self_signed_cert_in_chain tarkoittaa, että ketjussa on itse allekirjoitettu varmenne, jota ei ole luotetun varmenteenantajan myöntämä (Inventive HQ (tekninen tukisivusto)). Tämä voi tapahtua, jos palvelimelle on asennettu itse allekirjoitettu varmenne päätevarmenteen sijaan tai jos ketjuun on lisätty juurivarmenne, jota selain ei tunnista.

Vaikutukset selaimen luottamukseen

Selain, kuten Chrome tai Firefox, näyttää tällöin varoituksen, koska itse allekirjoitettua varmennetta ei ole luottamusvarastossa. Käyttäjä ei voi tietää, onko yhteys turvallinen, ja monet sivustot menettävät liikennettä, kun varoitus ilmestyy.

Siksi virheen kohdalla kannattaa katsoa ketjun rakennetta, ei pelkästään varmenteen voimassaoloa.

Miten korjata self_signed_cert_in_chain?

Korjaus vaiheittain

1. Lataa oikeat välivarmenteet varmenteenantajan verkkosivustolta. (Inventive HQ)
2. Luo fullchain-tiedosto yhdistämällä lehtivarmenne ja välivarmenteet oikeassa järjestyksessä: cat server.crt intermediate.crt > fullchain.crt (DNSimple-tuki)
3. Määritä web-palvelin käyttämään fullchain-tiedostoa. NGINX: ssl_certificate /path/to/fullchain.crt; Apache: SSLCertificateFile /path/to/fullchain.crt (DNSimple-tuki)
4. Käynnistä palvelin uudelleen ja testaa ketju openssl s_client -komennolla. (OneUptime-opas)

Varmenneketjun oikea järjestys

Ketju on asennettava oikeassa järjestyksessä: päätevarmenne ensin, sitten väli- tai välivarmenteet, ja viimeisenä juurivarmenne (jos se sisällytetään). (DNSimple-tuki) Useimmissa tapauksissa juurivarmennetta ei tarvitse sisällyttää, koska se on jo asiakkaan luottamusvarastossa. (DNSimple-tuki)

Miten voin tarkastella varmenteen ketjua?

Tarkastelu selaimella

Chromessa ja Firefoxissa voit tarkastella ketjua napsauttamalla lukkokuvaketta osoiterivillä ja valitsemalla “Varmenteen tiedot” tai “Lisätietoja”. (DNSimple-tuki) Siellä näkyy koko ketju päätevarmenteesta juureen.

Tarkastelu komentorivillä

Komentorivillä käytä openssl s_client -connect example.com:443 -showcerts. Tämä komento näyttää täsmälleen sen ketjun, jonka palvelin lähettää. (DNSimple-tuki (varmenteenantajan tukisivu)) Älä luota pelkästään selaimeen – palvelin saattaa lähettää eri ketjun kuin mitä selain näyttää. (OneUptime-valvontapalvelu)

Miten voin luoda varmenteen ketjun?

Varmenneketjun luominen palvelimella

Ketju luodaan yhdistämällä päätevarmenne, välivarmenteet ja juurivarmenne tiedostoksi. (DNSimple-tuki) Tiedosto on oltava PEM-muodossa, jossa jokainen varmenne on oma -----BEGIN CERTIFICATE----- -lohkonsa.

Esimerkki OpenSSL:llä

Komennolla cat server.crt intermediate.crt root.crt > chain.crt saat luotua ketjun, kun tiedostot ovat oikeassa järjestyksessä. (Authgear-ohje (tekninen blogi)) Let’s Encryptin tapauksessa ketjussa on kaksi lohkoa: lehtivarmenne ja yksi välivarmenne.

Pitääkö varmenteen ketjun sisältää juurivarmenne?

Käytäntö ja vaatimukset

Useimmissa tapauksissa juurivarmennetta ei tarvitse sisällyttää ketjuun, koska se on jo asiakkaan luottamusvarastossa. (DNSimple-tuki) Poikkeuksena voivat olla vanhat järjestelmät, joissa juurivarmennetta ei ole ennalta asennettu.

Vaikutus yhteensopivuuteen

Juurivarmenteen lisääminen voi parantaa yhteensopivuutta vanhojen järjestelmien kanssa, mutta se voi myös aiheuttaa self_signed_cert_in_chain -virheen, jos sitä ei ole luotettu. (USAVPS-ohje)

Miten voin validoida varmenteen ketjun?

Validointi selaimella

Klikkaa lukkokuvaketta ja valitse “Varmenteen tiedot” – selain näyttää ketjun ja varmentaa jokaisen varmenteen allekirjoituksen. (DNSimple-tuki)

Validointi työkaluilla

Komentorivillä openssl verify -CAfile root.pem -untrusted intermediate.pem yourdomain.crt tarkistaa, että ketju on täydellinen. (OneUptime-opas (tekninen dokumentaatio)) SSL Labs Server Test -työkalu on kätevä ulkoinen tarkistus, joka paljastaa ketjuongelmat. (DNSimple-tuki)

Käytännön päätelmä: nopein tapa löytää piilotettu ketjuvirhe on tarkistaa palvelimen lähettämä ketju, ei selaimen näkymää.

”Väli- ja juurivarmenteet muodostavat luottoketjun, joka yhdistää palvelimen varmenteen luotettuun juurivarmenteeseen.”

DigiCert-dokumentaatio (varmenteenantajan ohjeistus)

”SSL-varmenteen ketju linkittää palvelimen varmenteen luotettuun juurivarmenteeseen – ilman tätä ketjua selain ei voi luottaa.”

DNSimple-ohje (varmenteenantajan tukisivu)

Usein kysytyt kysymykset

SSL-varmenteen ketju on kuin digitaalinen luottoketju – jokaisen lenkin on oltava paikallaan, jotta yhteys on turvallinen. Suomen verkkokauppiaille ja palvelinpäättäjille: tarkista ketju säännöllisesti openssl-työkaluilla, tai menetät asiakkaiden luottamuksen heti ensimmäisellä varoituksella.