Làm thế nào để biết tại sao macOS nghĩ rằng một chứng chỉ bị thu hồi?

Tôi không thể truy cập Wikipedia trên cả máy Mac của mình. macOS nói rằng chứng chỉ trung gian được sử dụng để ký chứng chỉ Wikipedia ( GlobalSign Organization Validation CA - SHA256 - G2) đã bị thu hồi.

Tôi không tin rằng chứng chỉ đang nghi vấn đã bị thu hồi, vì vậy tôi đã kiểm tra thủ công dịch vụ CRL và OCSP của GlobalSign và cả hai đều nói với tôi rằng chứng chỉ đó ổn.

Có các nguồn CRL khác mà macOS có thể sử dụng không? Có cách nào để yêu cầu Khung bảo mật cho tôi biết chính xác điều gì sai với chứng chỉ không?

Tôi đã thử crlrefresh rpvà cũng xóa thủ công bộ đệm OCSP theo sudo rm /var/db/crls/*cache.dbnhư tài liệu của GlobalSign .

Tuy nhiên, bộ đệm dường như ở một vị trí khác trên macOS 10.12 Sierra. Lệnh sau đã làm việc cho tôi và giải quyết vấn đề:

$ sqlite3 ~/Library/Keychains/*/ocspcache.sqlite3 'DELETE FROM responses WHERE responderURI LIKE "%http://%.globalsign.com/%";'

Tôi cũng đã cố gắng xóa toàn bộ cơ sở dữ liệu, nhưng nó dường như không tự động quay trở lại.

Nếu không chắc chắn, tốt hơn là chỉ cần khôi phục ~/Library/Keychains/*/ocspcache.sqlite3*(bao gồm -shmvà -wal) từ bản sao lưu trước khi các máy chủ OCSP bắt đầu trả lời sai, ví dụ như từ ngày hôm qua.

Có thể là điều này, dường như GlobalSign đã có vấn đề với OCSP của họ. Điều này được lấy từ twitter của họ ( https://twitter.com/globalsign/status/786505261842247680?lang=da )

Chúng tôi hiện đang gặp sự cố với OCSP đang gây ra thông báo cảnh báo chứng chỉ. Chúng tôi mong muốn khắc phục điều này càng sớm càng tốt.

Và cũng

CẬP NHẬT: Nếu bạn là người dùng MAC, vui lòng xóa bộ nhớ cache của bạn với crlrefresh rp

hoặc Xem và / hoặc Xóa CRL, Bộ nhớ cache OCSP

Đã thử hướng dẫn do Global Sign cung cấp, nhưng nó không thực sự giúp tôi.

sudo rm /var/db/crls/*cache.dbKhông thực sự có ích vì có một tệp bộ đệm khác crlcache2.dbkhông phù hợp với *cache.dbtiêu chí.

Giải pháp của tôi là xóa tệp này, rồi khởi động lại.

sudo rm /var/db/crls/crlcache2.db

Tôi nghĩ rằng nó an toàn sudo rm /var/db/crls/*vì thư mục chỉ chứa các tập tin bộ nhớ cache. Nhưng nếu bạn chọn làm điều đó, hãy tự chịu rủi ro.

MacOS tin rằng chứng chỉ đã bị thu hồi vì chứng chỉ trung gian trong chuỗi ủy thác của nó (vô tình) bị thu hồi. Xem GlobalSign vít lên hủy bỏ chứng chỉ HTTPS của các trang web hàng đầu .

Thông báo lỗi bạn đang thấy là cho bạn biết chính xác chứng chỉ trung gian nào đã bị thu hồi. Bạn muốn biết thêm gì nữa?

Tùy chọn khác là truy cập vào một trang web mà bạn không bao giờ sử dụng sử dụng globalalsign, ví dụ (đối với bất kỳ người nói tiếng Anh nào) https://it.wikipedia.org (tiếng Ý wikipedia) và khi nói rằng chứng nhận không hợp lệ rõ ràng tin tưởng vào Gloalsign chứng chỉ cho đến khi CF này được cố định đúng