Sprawdź użycie klucza RSA dla certyfikatów serwera wystawionych przez lokalne kotwice zaufania (przestarzałe)

PRZESTARZAŁE: ta zasada jest przestarzała i nie działa w wersjach przeglądarki Microsoft Edge nowszych niż 135.

Rozszerzenie użycia klucza X.509 określa, w jaki sposób klucz w certyfikacie może być
używany. Te instrukcje zapewniają, że certyfikaty nie są używane w niezamierzonym
kontekście, co chroni przed klasą ataków międzyprotokołowych na protokół HTTPS i
inne protokoły. Klienci HTTPS muszą sprawdzić, czy certyfikaty serwera są zgodne z
parametrami TLS połączenia.

Począwszy od wersji 124 przeglądarki Microsoft Edge, to
sprawdzanie jest zawsze włączone.

Microsoft Edge Wersja 123 i wcześniejsze mają
następujące zachowanie:

Jeśli ta zasada jest włączona,
przeglądarka Microsoft Edge wykonuje to klucza
sprawdzenie. Pomaga to zapobiegać atakom, w których atakujący manipuluje przeglądarką w celu
interpretacji klucza w sposób, którego właściciel certyfikatu nie zamierzał.

Jeśli ta zasada jest wyłączona
przeglądarka Microsoft Edge pomija to sprawdzenie klucza
Połączenia HTTPS, które negocjują protokół TLS 1.2 i używają certyfikatu RSA, który
jest powiązany z lokalną kotwicą zaufania. Przykłady lokalnych kotwic zaufania obejmują
certyfikaty główne dostarczone przez zasady lub zainstalowane przez użytkownika. We wszystkich innych przypadkach
sprawdzenie jest wykonywane niezależnie od ustawień tych zasad.

Jeśli ta zasada nie jest skonfigurowana,
przeglądarka Microsoft Edge zachowuje się tak, jakby
ta zasada była włączona.

Ta zasada jest dostępna dla administratorów w celu podglądu zachowania
przyszłej wersji, która domyślnie włączy to sprawdzanie. W tym momencie ta
zasada pozostanie tymczasowo dostępna dla administratorów, którzy potrzebują więcej
czasu na aktualizację certyfikatów, aby spełnić nowe wymagania dotyczące użycia kluczy RSA.

Połączenia, które nie przejdą tego sprawdzenia, zakończą się niepowodzeniem z błędem
ERR_SSL_KEY_USAGE_INCOMPATIBLE. Witryny zakończone niepowodzeniem z tym błędem prawdopodobnie mają
nieprawidłowo skonfigurowany certyfikat. Nowoczesne zestawy szyfrów ECDHE_RSA używają
opcji użycia klucza „digitalSignature”, podczas gdy starsze zestawy szyfrów deszyfrujących RSA
używają opcji użycia klucza „keyEncipherment”. W przypadku wątpliwości administratorzy powinni
uwzględnić obie opcje w certyfikatach RSA przeznaczonych dla protokołu HTTPS.

Ta zasady stała się przestarzała począwszy od wersji 136 przeglądarki Microsoft Edge,
ale sprawdzanie klucza było zawsze włączone od wersji 124 przeglądarki Microsoft Edge.