Sertifika politikaları (Certificate Policies), sertifikanın hangi doğrulama düzeyiyle verildiğini OID'lerle belirtir. Politika uyumsuzluğu genellikle iki yerde ortaya çıkar: zincirde politika kısıtları uygulayan özel PKI ortamlarında ve EV gibi belirli bir doğrulama düzeyini bekleyen istemcilerde. OpenSSL tarafında invalid or inconsistent certificate policy extension veya policy kontrolünün başarısızlığı biçiminde görülür.
Bilinen CA/Browser Forum politika OID'leri
| Tür | OID |
|---|---|
| Domain Validated (DV) | 2.23.140.1.2.1 |
| Organization Validated (OV) | 2.23.140.1.2.2 |
| Individual Validated | 2.23.140.1.2.3 |
| Extended Validation (EV) | 2.23.140.1.1 |
CA'lar ayrıca kendi özel politika OID'lerini de ekler.
Nasıl incelenir?
openssl x509 -in sertifika.crt -noout -ext certificatePoliciesÇıktıdaki OID'yi yukarıdaki tabloyla karşılaştırın. EV sertifika beklerken OV OID'si görüyorsanız, doğru ürünü satın almamış olabilirsiniz.
Politika doğrulamasını zorlama
Politika kontrolünü açıkça test etmek için OpenSSL'de şu bayraklar kullanılır:
openssl verify -policy_check -explicit_policy -policy 2.23.140.1.2.2 -CAfile kok.crt -untrusted ara.crt sunucu.crtÇözüm adımları
- Uygulamanın gerçekten hangi doğrulama düzeyini beklediğini netleştirin.
- Uygun olmayan düzeyde bir sertifika aldıysanız, doğru düzeyde (OV veya EV) yenisini sipariş edin.
- Özel PKI'da ara CA'nın politika kısıtlarını (policy constraints) ve eşlemelerini gözden geçirip gerekirse yeniden düzenleyin.
- Düzeltmeden sonra zinciri tekrar doğrulayın.
DV, OV ve EV farkları için SSL seçim rehberine, ürünler için SSL sertifikaları sayfasına bakabilirsiniz. Modern tarayıcılarda EV artık adres çubuğunda belirgin bir farklılıkla gösterilmediği için, karar verirken kurumsal güven ve uyumluluk gereksinimlerinizi esas alın.