Cách khắc phục Firefox 59 không còn chấp nhận chứng chỉ SSL tự ký của tôi trên .dev virtualhost

Trên môi trường Apache cục bộ của tôi, tôi có một trang web yêu cầu SSL để phát triển, vì vậy tôi đã sử dụng chứng chỉ tự ký. Trang web cục bộ đã hoạt động tốt trong Firefox và Chrome cho đến bây giờ, nhưng sau khi cập nhật Firefox lên phiên bản 59 ngày hôm nay, tôi không thể chấp nhận ngoại lệ bảo mật (trên Chrome, chứng chỉ tự ký vẫn tiếp tục hoạt động).

Firefox cung cấp cho tôi thông tin bổ sung này trong trang bị chặn:

... sử dụng chứng chỉ bảo mật không hợp lệ. Giấy chứng nhận không đáng tin cậy vì nó là tự ký. Mã lỗi: SEC_ERROR_UNKNOWN_ISSUER

Không có tùy chọn nào cho phép ngoại lệ ở đây như trước đây, nhưng tôi đã đi đến Tùy chọn Firefox theo Chứng chỉ, sau đó trong tab "Máy chủ" tôi đã thêm một ngoại lệ cho tên miền cục bộ. Chứng chỉ sau đó được liệt kê trong tên máy chủ cục bộ chính xác, chi tiết hiển thị cài đặt chứng chỉ của tôi về Phát hành bởi và Được phát hành giống nhau, với khoảng thời gian hợp lệ.

Bất cứ ai gặp vấn đề tương tự với FF 59 hoặc có thể có manh mối gì để cố gắng để chứng chỉ tự ký hoạt động trở lại cục bộ?

Chỉnh sửa: Tôi không thấy bất kỳ đề cập nào về điều này trong ghi chú phát hành FF 59 nhưng có gì đó trong phiên bản mới khiến tất cả các máy chủ ảo cục bộ của tôi trên các tên miền * .dev tự động cố gắng thiết lập kết nối https (nghĩa là tất cả http yêu cầu * .dev tự động được gửi tới URL https). Có lẽ điều gì đó về hành vi này cũng là nguyên nhân gây ra những vấn đề này cho các máy chủ ảo https thực tế của tôi.

Tôi vẫn chưa hoàn toàn rõ ràng về việc làm thế nào tất cả khớp chính xác với nhau, nhưng như đã chỉ ra trong các câu trả lời .dev này hiện là các TLD chính thức. Như vậy, có vẻ như các trình duyệt buộc một số loại hành vi HSTS và buộc các kết nối https. Đối với những TLD đó, có vẻ như chứng chỉ tự ký của tôi không còn được chấp nhận trong Firefox. Thay đổi máy chủ ảo của tôi để sử dụng đã .testgiải quyết vấn đề mà không phải thay đổi bất cứ điều gì trong chứng chỉ tự ký của tôi cả.

Điều đáng chú ý là trong Firefox cũng có các máy chủ ảo không phải SSL của tôi đã hoạt động kể từ phiên bản 59 ngày hôm nay, vì hành vi HSTS dường như buộc SSL trên các máy chủ ảo mà tôi chưa thiết lập là phục vụ qua SSL. Trên Chrome, điều này vẫn được sử dụng để hoạt động, nhưng bằng cách nào đó, an toàn khi nói rằng việc di chuyển khỏi .devTLD hiện đang được sử dụng chính thức sẽ giải quyết được nhiều vấn đề đau đầu.

Có một cách dễ dàng xung quanh này.

1. Đi đến about:config
2. Tìm kiếm "network.stricttransportsecurity.preloadlist".
3. Đặt nó thành false.

CẢNH BÁO: Điều này sẽ vô hiệu hóa hoàn toàn HSTS . Hãy xem các ý kiến ​​về câu trả lời này cho một số thảo luận về nhược điểm của phương pháp này. Cá nhân tôi nghĩ rằng lợi ích lớn hơn rủi ro, nhưng bạn phải chịu trách nhiệm cho sự an toàn của chính bạn.

Thiết security.enterprise_roots.enabledđể truevào about:configtrang giải quyết này cho tôi và cho phép chứng chỉ tự ký của tôi để làm việc trong phát triển.

Có một chút thảo luận xung quanh giá trị của việc này được bật theo mặc định tại đây:
Đặt security.enterprise_roots.en bật thành đúng theo mặc định .

Mặc dù mục đích của cờ này là cho phép Firefox sử dụng kho lưu trữ gốc CA toàn máy làm nguồn hợp lệ cho các cơ quan cấp chứng chỉ, nhưng điều này đã khắc phục tình huống sử dụng của riêng tôi khi tôi có chứng chỉ đa miền tự ký mà tôi sử dụng tại địa phương để thử nghiệm (topicAltName's) . Ngay cả sau khi tôi đã thêm chứng chỉ vào danh sách chứng chỉ Firefox, phải đến khi tôi bật cái này lên thì nó mới cho phép trang web cục bộ tải.

Có vấn đề tương tự trên Trình duyệt web basilisk . Tôi đã cố gắng thay đổi cài đặt Proxy mạng hoặc sửa đổi cờ "network.stricttransportsecurity.preloadlist" hoặc "security.enterprise_roots.enabled" ... nhưng nó không giải quyết được nút thiếu để thêm chứng chỉ cho trang web bị chặn. Chỉ điều này làm cho nó thông qua:

1. Tới about:support.
2. Nhấp vào Open Directoryhồ sơ Trình duyệt của bạn.
3. Đóng trình duyệt hoàn toàn.
4. Chỉnh sửa tệp " SiteSecurityServiceState.txt " trong thư mục trên.
5. Tìm và xóa toàn bộ dòng chứa trang web HSTS bị chặn.
6. Lưu tệp và mở lại Trình duyệt của bạn trên trang web đó.

Tôi đã đi cho "Hãy mã hóa"

https://letsencrypt.org/

Chỉ có hiệu lực trong 3 tháng tại một thời điểm, nhưng việc làm mới có thể được tự động hóa.

Như bạn có thể thấy trong các nhận xét, có một lưu ý. Các miền phát triển và thử nghiệm của chúng tôi được gọi là dev-www.example.com và test-www.example.com. Chúng tôi sử dụng chứng chỉ ký tự đại diện từ sản xuất.