Зачем сертификат
Шифрование бессмысленно, если вы зашифровали разговор не с тем собеседником. Сертификат решает именно эту задачу — и потому иногда ломает подключение.
Паспорт с печатью учреждения, которому вы доверяете: вы не знаете человека лично, но верите тому, кто выдал документ.
Электронный документ, подтверждающий принадлежность сервера конкретному имени. Подписан удостоверяющим центром, чью подпись ваше устройство уже знает и проверяет.
Что происходит при рукопожатии
-
01
Клиент представляется и предлагает параметры
Ядро говорит серверу, какие способы шифрования умеет.
-
02
Сервер показывает сертификат
В нём указано имя, срок действия и подпись выдавшего центра.
-
03
Клиент проверяет три вещи
Действителен ли срок, тот ли центр подписал и совпадает ли имя с тем, к кому подключались. Любая осечка — соединение прерывается.
-
04
Стороны договариваются о ключах
После проверки вырабатывается общий секрет, и дальше идёт зашифрованный обмен.
Три причины, по которым проверка проваливается
| Причина | Что происходит | Чья зона |
|---|---|---|
| Сертификат просрочен | Клиент отказывается доверять | Сервис: продлить |
| Часы устройства сбиты | Действующий сертификат выглядит просроченным или ещё не начавшимся | Ваша: включить синхронизацию времени |
| Устаревший список доверенных центров | Подпись не опознаётся | Ваша: обновить систему |
| Имя не совпадает | Подключение идёт не к тому имени | Сервис: настройка |
Вторая строка особенно коварна на старых телефонах и телевизорах: там и часы сбиваются чаще, и список доверенных центров давно не обновлялся. Признак — работает на новом устройстве, не работает на старом.
Проверьте узел «Доступ» отдельно от остальных
Понять, какая часть схемы отказала, проще всего подстановкой: вставьте в тот же клиент другую, заведомо живую ссылку-подписку. Заработало — приложение, ядро и устройство исправны, вопрос был к доступу. Не заработало — причина выше по схеме, и разбор на этой странице остаётся в силе. Ссылка Happ Plus на 3 дня выдаётся без карты.
- ссылка приходит сразу
- карта не нужна
- проверка занимает две минуты
Почему не все протоколы используют сертификат
Потому что задача опознания решается по-разному. Trojan требует настоящего сертификата — в этом его идея. Reality обходится без собственного, заимствуя рукопожатие публичного сайта. Shadowsocks опознаёт стороны общим паролем и сертификатов не использует вовсе. Разбор этажей — чем протокол отличается от транспорта.
Можно ли отключить проверку сертификата?
В некоторых конфигурациях такая настройка существует, но включать её не стоит: она снимает единственную защиту от подмены собеседника.
Почему ошибка появилась внезапно?
Чаще всего истёк сертификат на сервере — это чинится на стороне сервиса. Второй вариант — сбились часы у вас.
При чём тут время?
Сертификат действителен в определённом промежутке. Если часы устройства показывают время вне этого промежутка, проверка не проходит.
Схема наверху держится на одном узле, который нельзя починить настройками: серверы приходят из подписки. Есть живой доступ — приложению есть что показать, ядру есть что запустить. Нет — интерфейс исправен, а список пуст. Доступ Happ Plus закрывает этот узел: одна ссылка на все устройства, серверы обновляются сами, первые 3 дня бесплатно и без карты.
Оформить доступ →