الجذر موثوق، لكن الشهادة المرفوضة لا تحصل على بطاقة عبور ثانية

الخلاصة

• تضيف مراجعة 2 نوفمبر من مسودة مجموعة TLS قاعدة لم تكن في مراجعة 30 سبتمبر: إذا رُفض مسار الشهادة لسبب غير الثقة بجذره، فالعميل SHOULD NOT أن يختار معرّف مرساة ذلك المسار لإعادة المحاولة.
• الأمثلة هي انتهاء الصلاحية، والإلغاء، وعدم تطابق الاسم، وقيد وضعه الطرف المعتمد على المرساة.
• المنع المقترح يخص معرّف المسار المرفوض؛ قد يبقى معرّف آخر مناسب، مع إعادة محاولة واحدة على الأكثر لكل محاولة اتصال.

الختم معروف، والوثيقة مع ذلك ساقطة

تسمح آلية التفاوض للخادم بعرض أكثر من مسار لشهادته. يعلن معرّفات المراسي المرشحة في EncryptedExtensions، وقد يعود العميل إلى النقطة نفسها بطلب معرّف واحد إذا فشل اختيار المسار الأول وكان قد طلب مراسي إضافية أو حذف بعض المراسي الموثوقة من إشارته. المراجعة 07 أبقت هذه الآلية وأضافت اختباراً عند الاختيار. كانت المراجعة 06 تحدد إعادة المحاولة وحدّها من دون جملة الاستبعاد.

قد تصل سلسلة الشهادات إلى جذر موجود في مخزن ثقة العميل، ثم تفشل لأن شهادة انتهت أو أُلغيت أو تحمل اسماً آخر. وقد يرفض العميل المسار لقيد خاص بتلك المرساة. عندئذ لا ينبغي له أن يختار معرّف المرساة المرتبط بهذا المسار في الاتصال التالي. اللفظ المعياري SHOULD NOT يتعلق بهذا الاختيار تحديداً؛ لا يلغي كل فرصة لاستعمال معرّف آخر مؤهل. وإذا غاب الامتداد أو لم يوجد تطابق، يعود الخطأ إلى التطبيق.

تسجل صفحة IETF الوثيقة مسودة عمل بحالة I-D Exists. لا تظهر الملفات الرسمية التي فُحصت واقعة قبول شهادة باطلة أو نتيجة نشر لهذا التعديل. الرهان هنا هو قرار التنفيذ: الثقة بمن أصدر السلسلة ليست حكماً بأن هذه السلسلة، بهذا الاسم وهذا التاريخ، صالحة للمرور.