Chứng chỉ SSL không hợp lệ trong Chrome

9

Đối với trang web scirra.com ( nhấp vào Kết quả kiểm tra máy chủ SSL Labs ) Google Chrome báo cáo biểu tượng sau:

Nhập mô tả hình ảnh ở đây

Đó là EV SSL và có vẻ như nó hoạt động tốt trong Firefox và Internet Explorer, nhưng không phải Chrome. Lý do cho điều này là gì?

ssl  chrome  ssl-certificate 
— Tom Gullen
nguồn
Trên thực tế, các trang web giới thiệu không phải là một thông lệ tốt, có thể nếu bạn sẽ trả chi phí quảng cáo cho công ty SE ...
— peterh - Tái lập Monica
6
@PeterHorvath Sẽ không hợp lệ nếu bao gồm tên miền cho một câu hỏi như thế này? Làm thế nào chúng ta có thể xác định nguyên nhân của vấn đề mà không cần điều tra chứng chỉ thực tế? Tuy nhiên, tôi đã đề xuất một chỉnh sửa với tên miền bằng văn bản thuần túy và liên kết đến Kiểm tra Máy chủ SSL Qualys.
— Paul
1
@Paul Điều này là do tôi chỉ cảnh báo anh ta, và không làm gì khác. Và bây giờ tôi thậm chí còn nêu lên câu hỏi của anh ấy vì tôi nghĩ nó xứng đáng với điều đó. Thông thường, trong quá trình đánh giá, nếu chúng tôi tìm thấy một liên kết bên ngoài, nó cần được kiểm tra nếu nó không phải là một "viên ngọc ẩn" hoặc thích. Sẽ tốt hơn nhiều nếu url đến từ một trang web đã biết (imgur, jsfiddle, v.v.).
— peterh - Phục hồi Monica
1
— một CVn
Tôi sẽ tưởng tượng tất cả các trình duyệt trên thị trường sẽ che nắng SHA-1. Google chỉ dẫn đầu.
— taco

Câu trả lời:

15

Những gì bạn thấy bây giờ không phải là "thanh địa chỉ xanh" mà bạn mong đợi với chứng chỉ EV, mà là:

nhập mô tả hình ảnh ở đây

Lý do cho điều đó là thông báo sau trên blog Google Online Security :

Thuật toán băm mật mã SHA-1 đã được biết là yếu hơn đáng kể so với thuật toán được thiết kế từ ít nhất là năm 2005 - 9 năm trước. Các cuộc tấn công va chạm chống lại SHA-1 là quá hợp lý để chúng tôi xem xét nó an toàn cho PKI web công cộng. Chúng tôi chỉ có thể mong đợi rằng các cuộc tấn công sẽ rẻ hơn.

Đó là lý do Chrome sẽ bắt đầu quá trình che nắng SHA-1 (như được sử dụng trong chữ ký chứng chỉ cho HTTPS) với Chrome 39 vào tháng 11. ... Các trang web có chứng chỉ thực thể hết hạn từ ngày 1 tháng 6 năm 2016 đến ngày 31 tháng 12 năm 2016 (đã bao gồm) và bao gồm chữ ký dựa trên SHA-1 như một phần của chuỗi chứng chỉ, sẽ được coi là bảo mật, nhưng là phụ lỗi nghiêm trọng.

"An toàn nhưng có lỗi nhỏ" được biểu thị bằng dấu hiệu cảnh báo trong ổ khóa và cài đặt bảo mật lỗi thời trong thông báo mở rộng là thực tế là chứng chỉ dựa trên thuật toán băm SHA-1.

Những gì bạn cần làm là như sau:

Tạo khóa riêng mới với hàm băm SHA-256 và Yêu cầu ký chứng chỉ (CSR) mới và yêu cầu nhà cung cấp SSL cấp lại cho bạn chứng chỉ mới. Với chứng chỉ EV, một lần phát hành lại thường yêu cầu nhiều hơn hoặc ít hơn các vòng bạn phải nhảy qua để lấy chứng chỉ ban đầu, nhưng bạn sẽ nhận được chứng chỉ mới có hiệu lực cho đến ngày hết hạn của chứng chỉ hiện tại mà không phải trả thêm phí.

Trong openssl, bạn sẽ sử dụng một cái gì đó giống như dòng lệnh sau:

openssl req -nodes -sha256 -newkey rsa:2048 -keyout www.scirra.com.sha256.key -out www.scirra.com.sha256.csr
— HBruijn
nguồn
1
Tôi nhận thấy trong Kết quả kiểm tra máy chủ SSL Labs rằng chữ ký máy chủ HTTP là Microsoft-IIS / 7.5. Tôi chưa sử dụng bất kỳ sản phẩm máy chủ nào của Microsoft, vì vậy không chắc openssllệnh của bạn có phải là tùy chọn cho người dùng này hay không.
— Paul
1
Bạn không cần tạo khóa mới. Bạn chỉ có thể nhận chứng chỉ mới cho khóa hiện tại của mình, như thể hiện trong câu trả lời của taco. Mặc dù vậy, nó cũng không thành vấn đề, ngoại trừ việc ghi một vài chu kỳ CPU tạo ra các số nguyên tố.
— Matt Nordhoff
10

Điều này là do kế hoạch hoàng hôn của Google cho SHA-1 .

  • Không có mối quan tâm an ninh ngay lập tức.
  • SHA-2 là thuật toán băm được khuyến nghị hiện tại cho SSL. Không có vi phạm với chứng chỉ sử dụng SHA-1 đã được báo cáo.
  • Việc hiển thị các chỉ báo UI bị xuống cấp trên Chrome 39 trở lên là một phần trong kế hoạch khấu hao SHA-1 của Google và sẽ áp dụng cho tất cả các Cơ quan cấp chứng chỉ (CA).
  • Giao diện người dùng bị xuống cấp sẽ chỉ hiển thị bởi người dùng Chrome 39 trở lên, không phải phiên bản cũ hơn. Liên hệ với Nhà cung cấp SSL của bạn sau khi sysadmin tìm thấy khóa riêng hiện tại của bạn (trên máy chủ web của bạn) và họ sẽ thực hiện cấp lại chứng chỉ với SHA-2 miễn phí. Bạn sẽ cần một CSR mới.

Phần sau đây sẽ tạo CSR mới trên OSX / Linux nếu OpenSSL được cài đặt (tham khảo các trường Chứng chỉ SSL hiện tại của bạn vì tên miền (còn gọi là "Tên chung") cần giữ nguyên:

Linux / OSX:

openssl req -new -sha256 -key myexistingprivate.key -out newcsr.csr

Đối với Windows, xem bài viết TechNet này .

Tại thời điểm này, bạn có thể cần liên hệ với nhà cung cấp của mình để được giúp đỡ, nếu bạn không thấy tùy chọn cấp lại thông qua cổng SSL của họ. Trang web của Comodo sẽ xem chi tiết cách thực hiện việc này nếu điều này không đủ thông tin cho bạn.

Khi chứng chỉ SHA-2 được cài đặt, điều này sẽ thoát khỏi "vấn đề" bạn thấy trong Chrome.

— bánh taco
nguồn
5

Bạn cần chứng chỉ SHA2 để làm cho nó biến mất. Thông tin thêm về việc dần dần che nắng SHA-1

— rumburak
nguồn
2
SSL Labs báo cáo chính xác trang web của tôi vẫn có chứng chỉ SHA1, tuy nhiên nó không có cảnh báo tương tự trong Chrome. Tuy nhiên, SSL Labs báo cáo rằng scirra.com có nhiều vấn đề khác, bao gồm SSL 3, RC4 và không có FS. Tôi nghi ngờ không chỉ là chứng chỉ được ký bằng SHA1, mà còn là ngày hết hạn của nó là sau hoàng hôn SHA1 (2016).
— Paul
1
@Paul được bao gồm trong liên kết. Sites with end-entity certificates that expire on or after 1 January 2017, and which include a SHA-1-based signature as part of the certificate chain, will be treated as “neutral, lacking security”.
— mạo
2
Các trang web @faker SE cau mày với câu trả lời hoặc câu hỏi dựa trên thông tin trong các liên kết. Các thông tin liên quan nên được bao gồm. Trên thực tế, tôi sẽ đi xa hơn để nói rằng câu trả lời này không đúng về mặt kỹ thuật, bởi vì người dùng có thể giải quyết vấn đề bằng cách sử dụng chứng chỉ SHA1 hết hạn trước năm 2016.
— Paul
1
@Paul đủ công bằng, nhưng bạn nói bạn nghi ngờ rằng đây là lý do. Tôi chỉ làm rõ ...
— mạo
3
Hãy xem cách họ làm mọi thứ tại Stack Overflow . Đó là một câu trả lời tốt hơn nhiều so với của bạn.
— Paul
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookie và Chính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.