Name Constraints uzantısı, bir CA sertifikasının hangi alan adı, e-posta veya IP aralıkları için sertifika düzenleyebileceğini sınırlar. Bir leaf sertifikadaki ad, üstteki CA'nın izin verdiği alanın dışında kalıyorsa doğrulama OpenSSL'de permitted subtree violation (hata 47) veya excluded subtree violation (hata 48) ile sonuçlanır.
Uzantının yapısı
- permitted: yalnızca bu alanlar için sertifika düzenlenebilir (örneğin
.sirket.local). - excluded: bu alanlar için sertifika düzenlenemez.
- Kısıtlar ad türüne göre uygulanır: DNS, e-posta, URI ve IP ayrı değerlendirilir.
Teşhis
openssl x509 -in ara.crt -noout -ext nameConstraints
openssl x509 -in sunucu.crt -noout -ext subjectAltNameBirinci komut kısıtları, ikincisi leaf sertifikadaki adları gösterir. Adlardan biri izinli alt ağaçta yer almıyorsa hata bundan kaynaklanır. Doğrulama sırasında openssl verify çıktısı hangi derinlikte hata oluştuğunu belirtir.
Olası nedenler
- Kurum içi CA yalnızca iç alan adları için kısıtlandı, ama sertifikaya genel bir ad eklendi.
- Sertifikada CN veya SAN'da beklenmeyen bir IP ya da ek alan adı var.
- Farklı bir ara CA'nın zincirine yanlışlıkla bağlanıldı.
- Kısıt yalnızca SAN'a değil, e-posta gibi başka ad türlerine de uygulanıyor.
Çözüm
- Sertifikadaki adları izinli alan kapsamına çekin; dışarıdaki adları kaldırın.
- Gerçekten başka bir alan gerekiyorsa, ara CA'yı genişletilmiş kısıtlarla yeniden oluşturun.
- Genel internette kullanılacak siteler için kurum içi CA yerine kamuya açık bir CA'nın sertifikasını tercih edin.
- Düzeltmeden sonra zinciri tekrar doğrulayın.
Bu kısıtlar bilinçli bir güvenlik önlemidir; hatayı "atlatmaya" çalışmak yerine, sertifikayı doğru kapsamda yeniden düzenlemek gerekir. Herkese açık siteler için SSL sertifikalarına, sonuç kontrolü için SSL kontrol aracına bakabilirsiniz.