MacOS'taki Chrome aniden imzalı sertifikaları reddetti

0

Birkaç yıldır apache2 üzerinde çalışan yerel olarak barındırılan siteler için kendinden imzalı sertifikaları kullanıyorum. Bugün bu sertifikalardan birinin süresi doldu - biggie yok, onu yeniden yarattım ve anahtarlığımdaki sertifikayı değiştirdim. Ancak, Chrome, siteyi ziyaret etmeye çalıştığımda bana hata veriyor:

Sertifika Hatası
Sitenin sertifika zincirinde sorunlar var (net :: ERR_CERT_COMMON_NAME_INVALID).

Bu yüzden, yarattığım certenin tehlikeli olduğunu düşündüm. Ama hayır - diğer (süresi dolmamış) kendinden imzalı sertifikalarımın hepsi de çalışmayı bıraktı! Tesadüf mü? Bilmiyorum.

Belki de benim 'ortak ismimi' beğenmedi diye düşündüm ( com06örneğin, öyleydi https://com06/) com06.dev. Şanssız!

Ne oluyor?

İle oluşturulan sertifikalar

openssl req -new -newkey rsa:2048 -sha256 -days 365 -nodes -x509 -keyout server.key -out server.crt

İle anahtarlığa eklendi

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain server.crt

macOS 10.11.6
Chrome v58.0.3029.33 beta (64 bit)

Kendinden imzalı sertifikalar Safari tarafından kabul edilir, bu yalnızca Chrome'da bir sorundur

Güncelleştirme

Chrome v58.0.3029.41 beta sürümünden itibaren, geliştirici araçlarında bu faydalı hata mesajını alıyorum:

Subject Alternative Name Missing
The certificate for this site does not contain a Subject Alternative 
Name extension containing a domain name or IP address.

— diachedelic
kaynak

Chrome'un güvenliği artırıp güvenmeyi ikiye katlayıp azaltmadığını mı soruyorsunuz? Veya certbot veya diğer kaynakları kullanmak gibi daha iyi arabaları nasıl elde edersiniz?

— bmike

Benim certs ani bir bütün çalışmayı durdurdu Hayır nedenini merak ediyorum

— diachedelic

1

EnableCommonNameFallbackForLocalAnchors politikasını kullanarak SAN zorlamasını geçici olarak devre dışı bırakabilirsiniz, ayrıntılar için bu sayfaya bakın. Bu, zaman izin verdiğinde sertifikalarınızı yeniden yayınlamanıza izin verir.

OSX'te bu, aşağıdaki komutu kullanarak elde edilebilir:

defaults write com.google.Chrome EnableCommonNameFallbackForLocalAnchors -bool true

— f0xik
kaynak

0

Sorun, openssl kullanarak kendinden imzalı sertifikalarımı ürettiğimde doldurulmayan eksik olan Konu Alternatif Adı (SAN) idi. Bununla birlikte, bu mükemmel cevap açık ssl kullanarak uyumlu cerların nasıl üretileceğini açıklamaktadır.

Sertifikanızın SAN içerip içermediğini kontrol etmek için openssl x509 -in my.crt -text

— diachedelic
kaynak