azure - 通过查看问题是否来自不受信任的 CA 来检测中间人攻击

Question

对于以下问题，我将不胜感激:我的客户正在为 Azure 中托管的应用程序使用打开的服务器。 (在 login.microsoftonline.com)

主机开始提供由不同 CA 颁发的不同证书:

旧证书:

Issuer: C=US, O=Symantec Corporation, OU=Symantec Trust Network, CN=Symantec Class 3 EV SSL CA - G3

有时会返回新证书:

Issuer: C=US, ST=Washington, L=Redmond, O=Microsoft Corporation, OU=Microsoft IT, CN=Microsoft IT SSL SHA2

客户通过使用 OpenSSL 命令(转储主机的证书详细信息)获取证书信息。

他们需要对此主机的行为进行一些澄清:如果客户端仅将所需的证书颁发机构列入白名单，那么该主机可以公开的证书列表是什么？这样的列表应该是稳定的还是可能会改变？由于该主机是关键安全数据的生产者，他们希望了解如何以安全的方式识别它(没有将通信暴露给中间人攻击的风险)

非常感谢您的帮助!

Answer 1

域的所有者决定将哪个 CA 用于属于该域的证书。因此，您需要询问域的所有者(即本例中的 Microsoft)他们计划在未来使用哪个 CA。

现在看来，Microsoft 正在使用 Microsoft 自己拥有的子 CA“Microsoft IT SSL SHA2”。此子 CA 本身不受任何浏览器信任，但它由根 CA“Baltimore Cyber​​Trust Root”签名，然后位于浏览器信任库中。但这可能会改变，即微软可能决定使用不同的子 CA，然后可能由不同的根 CA 颁发。询问他们 future 的计划。