Chứng chỉ được PC tin cậy chứ không phải Android

Kể từ sáng nay, chứng chỉ của tôi không còn đáng tin cậy trên Android và sau đó ứng dụng của tôi không thể kết nối nữa:

 Catch exception while startHandshake: javax.net.ssl.SSLHandshakeException: java.security.cert.CertPathValidatorException: Trust anchor for certification path not found.
 return an invalid session with invalid cipher suite of SSL_NULL_WITH_NULL_NULL
 javax.net.ssl.SSLPeerUnverifiedException: No peer certificate
    at org.apache.harmony.xnet.provider.jsse.SSLSessionImpl.getPeerCertificates(SSLSessionImpl.java:137)
    at org.apache.http.conn.ssl.AbstractVerifier.verify(AbstractVerifier.java:93)
    at org.apache.http.conn.ssl.SSLSocketFactory.createSocket(SSLSocketFactory.java:381)
    at org.apache.http.impl.conn.DefaultClientConnectionOperator.openConnection(DefaultClientConnectionOperator.java:165)
    at org.apache.http.impl.conn.AbstractPoolEntry.open(AbstractPoolEntry.java:164)
    at org.apache.http.impl.conn.AbstractPooledConnAdapter.open(AbstractPooledConnAdapter.java:119)
    at org.apache.http.impl.client.DefaultRequestDirector.execute(DefaultRequestDirector.java:360)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:591)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:807)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:781)
    at org.apache.http.impl.client.AbstractHttpClient.execute(AbstractHttpClient.java:770)

Nếu tôi thử trong Google Chrome (trên PC) thì không có vấn đề gì và chứng chỉ đáng tin cậy nhưng nếu tôi thử trong trình duyệt Chrome trên Android, nó cho tôi biết chứng chỉ không đáng tin cậy. Tôi có thể làm gì?

Bạn có thể thiếu chứng chỉ trung gian trong tệp chứng chỉ của mình. Nếu bạn đã truy cập một trang web khác có cùng người bán chứng chỉ, chứng chỉ trung gian sẽ được ghi nhớ trong trình duyệt của bạn. Điều này có thể không - hoặc thậm chí tốt hơn - sẽ không đúng với mọi khách truy cập vào trang web của bạn. Để giải quyết việc thiếu chứng chỉ trung gian trong kết nối SSL, bạn sẽ cần thêm chứng chỉ trung gian vào tệp chứng chỉ của riêng mình.

GoDaddy có một số thông tin về các chứng chỉ trung gian (nhưng nguồn tốt nhất luôn là nhà cung cấp chứng chỉ của bạn): http://support.godaddy.com/help/article/868/what-is-an-inter Instant- certificate

Tôi đã từng gặp vấn đề này về cert trung gian (với cả Commodo) và phải kết hợp tệp cert của riêng mình với CA trung gian để hoạt động. Sau khi thực hiện không có lỗi xảy ra nữa.

Hướng dẫn cài đặt cho mỗi máy chủ web của Godaddy: http://support.godaddy.com/help/article/5346/installing-an-ssl-server-instructions?locale=vi

Và đây là danh sách các hướng dẫn cài đặt phổ biến nhất do Commodo tự thực hiện: https://support.comodo.com/index.php?/Default/Knowledgebase/Article/View/1145/0/how-do-i-make- my-own-pack-file-from-crt-files

Tùy thuộc vào máy chủ web bạn đang sử dụng, bạn sẽ cần chỉ định tất cả các chứng chỉ (chứng chỉ miền, trung gian và gốc) hoặc kết hợp chúng thành một (ví dụ: đối với Nginx) theo thứ tự:

1. chứng chỉ miền
2. chứng chỉ trung cấp
3. chứng chỉ gốc

Một cách dễ dàng để thực hiện việc này trong thiết bị đầu cuối SSH là nhập:

cat domainfile intermediatefile rootfile > targetfile

Công cụ kiểm tra chứng chỉ

Nếu bạn gặp phải sự cố khác hoặc không chắc liệu chứng chỉ có đúng hay không, hãy thử một công cụ trực tuyến để xác minh chứng chỉ SSL của bạn. Ví dụ: networking4all.com/en/ssl+certificates/quickscan

Hỗ trợ SNI cho Android 2.2 trở xuống

Xin lưu ý rằng android 2.2 (và có thể là cũ hơn) không hỗ trợ SNI, cho phép nhiều chứng chỉ SSL cho các tên máy chủ khác nhau hoạt động mà không gặp sự cố trên một địa chỉ IP duy nhất. Cảm ơn @technyquist đã cung cấp thông tin đó. Vui lòng xem lại câu hỏi SO này về SNI để biết thêm thông tin về vấn đề này.

Bạn phải tạo một bó crt thì nó sẽ ổn. Bạn sẽ nhận được ba tệp crt. Sử dụng tất cả! Nếu bạn chỉ sử dụng domain.crt thì sẽ có cảnh báo trên Android nhưng không phải trên PC.

Tôi đang trên nginx. Tôi đã mở domain_name.crt và sau đó mở posvesslca2.crt, chọn tất cả và sao chép vào cuối domain_name.crt. Sau đó mở AddTrustExternalCARoot.crt, sao chép lại vào cuối domain_name.crt. Sau đó cài đặt domain_name.crt

hoạt động tốt.

Thêm điều này ở đây vì nó có thể giúp ích cho ai đó. Tôi đang gặp sự cố với việc Android hiển thị cửa sổ bật lên và lỗi chứng chỉ không hợp lệ.

Chúng tôi có chứng chỉ Xác thực Mở rộng Comodo và chúng tôi đã nhận được tệp zip chứa 4 tệp:

• AddTrustExternalCARoot.crt
• COMODORSAAddTrustCA.crt
• COMODORSAExtendedValidationSecureServerCA.crt
• www_mydomain_com.crt

Tôi nối tất cả chúng lại với nhau trên một dòng như vậy:

cat www_mydomain_com.crt COMODORSAExtendedValidationSecureServerCA.crt COMODORSAAddTrustCA.crt AddTrustExternalCARoot.crt >www.mydomain.com.ev-ssl-bundle.crt

Sau đó, tôi sử dụng tệp gói đó làm tệp của tôi ssl_certificate_keytrong nginx. Đó là nó, hoạt động ngay bây giờ.

Lấy cảm hứng từ ý chính này: https://gist.github.com/ipedrazas/6d6c31144636d586dcc3

Với Comodo PositiveSSL, chúng tôi đã nhận được 4 tệp.

• AddTrustExternalCARoot.crt
• COMODORSAAddTrustCA.crt
• COMODORSADomainValidationSecureServerCA.crt
• our_domain.crt

Khi chúng tôi làm theo hướng dẫn trên trang comodo - chúng tôi sẽ gặp lỗi rằng chứng chỉ của chúng tôi bị thiếu tệp chứng chỉ trung gian.

Về cơ bản, cú pháp là

cat our_domain.crt COMODORSADomainValidationSecureServerCA.crt COMODORSAAddTrustCA.crt  AddTrustExternalCARoot.crt > domain-ssl_bundle.crt

Gần đây tôi đã tham gia vấn đề này với Commodo cert mà tôi đã mua trên ssls.com và tôi đã có 3 tệp:

domain-name.ca-pack domain-name.crt và domain-name.p7b

Tôi đã phải thiết lập nó trên Nginx và đây là lệnh tôi đã chạy:

cat domain-name.ca-bundle domain-name.crt > commodo-ssl-bundle.crt

Sau đó, tôi đã sử dụng goodso-ssl-pack.crt bên trong tệp cấu hình Nginx và hoạt động như một sự quyến rũ.

Tôi đã gặp vấn đề tương tự và vấn đề của tôi là thiết bị không có đúng ngày và giờ. Khi tôi đã sửa rằng chứng chỉ đang được tin cậy.

Tôi đã gặp lỗi tương tự vì tôi không cấp chứng chỉ Let's Encrypt cho www .my-domain.com, chỉ cho my-domain.com

Cũng phát hành cho www. và định cấu hình vhost để tải chứng chỉ cho www .my-domain.com trước khi chuyển hướng đến https://my-domain.com đã thực hiện thủ thuật.

Tôi gặp phải vấn đề tương tự này trong Apache 2.2 khi tôi đang cố gắng sử dụng nhiều lệnh SSLCertificateChainFilecho mỗi cert trung gian; thay vào đó, tôi cần nối cả ba vào một tệp duy nhất. Đến từ GoDaddy, nơi họ đã thực hiện việc này cho tôi như một "gói", bước bổ sung này là mới đối với tôi, nhưng việc đọc lại tài liệu Apache đã làm rõ điều này.

Đáng chú ý, chỉ thị này không được chấp nhận kể từ Apache 2.4.8 vì giờ đây bạn có thể nối tất cả các trung gian với cert thực tế.

Tôi hy vọng tôi không quá muộn, giải pháp này ở đây đã hiệu quả đối với tôi, tôi đang sử dụng COMODO SSL, các giải pháp trên có vẻ không hợp lệ theo thời gian, trang web của tôi lives life.co.ke

Thay vì liên hệ với Bộ phận hỗ trợ của Comodo và lấy tệp gói CA, bạn có thể làm như sau:

Khi Bạn nhận được chứng chỉ SSL mới từ Comodo (qua đường bưu điện), họ sẽ đính kèm một tệp zip. Bạn cần giải nén tệp zip và mở các tệp sau trong trình soạn thảo văn bản như notepad:

AddTrustExternalCARoot.crt
COMODORSAAddTrustCA.crt
COMODORSADomainValidationSecureServerCA.crt

Sau đó, sao chép văn bản của từng tệp ".crt" và dán các văn bản ở trên với nhau trong trường "Gói tổ chức phát hành chứng chỉ (tùy chọn)".

Sau đó, chỉ cần thêm chứng chỉ SSL như bình thường trong trường "Chứng chỉ" và nhấp vào nút "Tự động hóa bằng chứng chỉ" và nhấn "Cài đặt".

Với Godaddy certs bạn rất có thể sẽ có một domain.key, gd_bundle_something.crtvà (ngẫu nhiên chuỗi chữ và số)4923hg4k23jh4.crt

Bạn sẽ cần: cat gd_bundle_something.crt >> 4923hg4k23jh4.crt

Và sau đó, trên nginx, bạn sẽ sử dụng

ssl                  on;
ssl_certificate      /etc/ssl/certs/4923hg4k23jh4.crt;
ssl_certificate_key  /etc/ssl/certs/domain.key;

Tôi đã từng gặp vấn đề tương tự. Một cách khác để tạo tệp .crt chính xác là như sau:

Đôi khi bạn nhận được tệp .PEM có toàn bộ chuỗi chứng chỉ bên trong. Tệp có thể trông như thế này ....

-----BEGIN RSA PRIVATE KEY-----
blablablabase64private...
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
blablablabase64CRT1...
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
blablablabase64CRT2...
-----END CERTIFICATE-----
...

Nếu bạn xóa toàn bộ private keyphần, bạn sẽ có .crt chuỗi hợp lệ

Đảm bảo rằng bạn cũng sử dụng crt trung gian của mình (tệp .crt với một gói .. một số nhà cung cấp còn gọi nó là chứng chỉ gói hoặc ca). thì trong ssl.conf của bạn,

SSLCertificateFile </path/for/actual/certificate>

SSLCACertificateFile </path/for/actual/intermediate_certificate>

sau đó khởi động lại máy chủ web của bạn: ex để sử dụng apache:

sudo service httpd restart

có thể là bạn thiếu chứng chỉ trên thiết bị của mình.

hãy thử xem câu trả lời này: Làm thế nào để cài đặt chứng chỉ CA đáng tin cậy trên thiết bị Android? để xem cách cài đặt CA trên thiết bị của riêng bạn.

Tôi đã gặp một vấn đề tương tự và đã viết một bài báo chi tiết về nó. Nếu ai có vấn đề tương tự, hãy đọc bài viết của tôi.

https://developer-blog.net/administration/ssl-zertifikat-installieren/

Nó là một mô tả vấn đề chi tiết bằng tiếng Đức.