Czy ten łańcuch certyfikatów SSL jest uszkodzony i jak go naprawić?

W przypadku certyfikatu SSL w domenie example.com niektóre testy wykazały, że łańcuch jest niekompletny, a ponieważ Firefox utrzymuje własny magazyn certyfikatów, może się nie powieść w Mozilli ( 1 , 2 , 3 ). Inni twierdzą, że jest w porządku , podobnie jak Firefox 36, który mówi mi, że łańcuch certyfikatów jest w porządku.

AKTUALIZACJA: Testowałem na Opera, Safari, Chrome i IE na Windows XP i MacOS X Snow Leopard, wszystkie działają dobrze. Nie działa tylko w przeglądarce Firefox <36 w obu systemach operacyjnych. Nie mam dostępu do testów w systemie Linux, ale na tej stronie jest mniej niż 1% odwiedzających, a większość z nich to prawdopodobnie boty. Odpowiada to na pierwotne pytania „czy ta konfiguracja wyświetla ostrzeżenia w Mozilla Firefox, czy nie” i „Czy ten łańcuch certyfikatów SSL jest zepsuty, czy nie?”.

Dlatego pytanie brzmi: w jaki sposób dowiedzieć się, które certyfikaty muszę umieścić w pliku ssl.ca, aby mogły być obsługiwane przez Apache, aby nie dopuścić do zakrztuszenia się przeglądarki Firefox <36?

PS: Na marginesie, Firefox 36, którego testowałem, był zupełnie nową instalacją. Nie ma szans, żeby nie narzekał, ponieważ podczas poprzedniej wizyty na stronie korzystającej z tego samego łańcucha pobrał pośredni certyfikat .

To, czy łańcuch jest wystarczający, zależy od magazynu CA klienta. Wygląda na to, że Firefox i Google Chrome zawarły certyfikat dla „COMODO RSA Certification Authority” na koniec 2014 roku. W przypadku przeglądarki Internet Explorer prawdopodobnie zależy to od systemu operacyjnego. Urząd certyfikacji może nie zostać jeszcze uwzględniony w magazynach zaufania używanych przez przeglądarki niebędące przeglądarkami, tj. Przeszukiwacze, aplikacje mobilne itp.

W każdym razie łańcuch nie jest w pełni poprawny, jak widać z raportu SSLLabs :

• Jedna ścieżka zaufania wymaga zaufania nowego urzędu certyfikacji przez przeglądarkę. W takim przypadku nadal wysyłasz nowy urząd certyfikacji, który jest nieprawidłowy, ponieważ zaufane urzędy certyfikacji muszą być wbudowane i nie mogą być zawarte w łańcuchu.
• Druga ścieżka zaufania jest niekompletna, tzn. Wymaga dodatkowego pobrania. Niektóre przeglądarki, takie jak Google Chrome, pobierają to pobieranie, podczas gdy inne przeglądarki i inne przeglądarki oczekują, że wszystkie niezbędne certyfikaty będą zawarte w dostarczonym łańcuchu. Dlatego większość przeglądarek i aplikacji, które nie mają wbudowanego nowego urzędu certyfikacji, zawiedzie w tej witrynie.

Skontaktowałem się z Comodo i pobrałem z nich plik bundle.crt. Zmieniłem nazwę na ssl.ca, zgodnie z konfiguracją tego serwera, a teraz cert przechodzi wszystkie testy. Chain issues = Contains anchorZawiadomienie nie jest problemem (patrz niżej).

SSL Labs, powszechnie uważany za najbardziej kompletny test, teraz pokazuje Chain issues = Contains anchor, podczas gdy wcześniej pokazywał Chain issues = None(podczas gdy inni wykazywali problem z łańcuchem). To naprawdę nie jest problem ( 1 , 2 ), oprócz dodatkowego 1kB, który serwer wysyła do klienta.

Mój wniosek

1. Zignoruj test SSL Labs, w którym jest napisane Chain issues = Contains anchorLUB usuń certyfikat główny z pliku pakietu (zobacz ten komentarz poniżej).

2. Zawsze wykonuj test dodatkowy w co najmniej jednym z trzech pozostałych serwisów testowych ( 1 , 2 , 3 ), aby upewnić się, że Twój łańcuch jest naprawdę w porządku, gdy mówi SSL LabsChain issues = None .