क्या यह एसएसएल प्रमाणपत्र श्रृंखला टूटी हुई है और इसे कैसे ठीक किया जाए?


13

डोमेन example.com पर SSL सर्टिफिकेट के लिए, कुछ परीक्षण मुझे बताते हैं कि श्रृंखला अधूरी है और चूंकि फ़ायरफ़ॉक्स अपना प्रमाणपत्र स्टोर रखता है, इसलिए यह मोज़िला ( 1 , 2 , 3 ) पर विफल हो सकता है । अन्य मुझे बताते हैं कि यह ठीक है , जैसा कि फ़ायरफ़ॉक्स 36, जो मुझे बताता है कि प्रमाणित श्रृंखला ठीक है।

अद्यतन: मैंने विंडोज एक्सपी और मैकओएस एक्स स्नो लेपर्ड दोनों पर ओपेरा, सफारी, क्रोम और आईई का परीक्षण किया, वे सभी ठीक काम करते हैं। यह केवल दोनों ओएस पर फ़ायरफ़ॉक्स <36 पर विफल रहता है। मेरे पास लिनक्स पर परीक्षण करने की पहुंच नहीं है, लेकिन इस वेबसाइट के लिए यह 1% से भी कम आगंतुकों है, और अधिकांश संभवतः बॉट हैं। तो, यह मूल सवालों के जवाब देता है "क्या यह सेटअप मोज़िला फ़ायरफ़ॉक्स में चेतावनी लाता है या नहीं" और "क्या यह एसएसएल प्रमाणपत्र टूट गया है या नहीं?"।

इसलिए, सवाल यह है कि मुझे यह कैसे पता चलेगा कि मुझे ssl.ca फ़ाइल में कौन से सेर्ट्स लगाने की आवश्यकता है, ताकि उन्हें अपाचे द्वारा फ़ायरफ़ॉक्स <36 को चोक करने से बचाया जा सके?

पुनश्च: एक साइड नोट के रूप में, फ़ायरफ़ॉक्स 36 मैं प्रमाण पत्र का परीक्षण करने के लिए इस्तेमाल किया गया एक बिल्कुल नया स्थापित था। ऐसा कोई मौका नहीं है जिससे यह शिकायत न हुई हो क्योंकि इसने पिछली श्रृंखला के दौरान एक मध्यवर्ती प्रमाण पत्र डाउनलोड किया था जो उसी श्रृंखला का उपयोग करता है


1
जरूरी नहीं - किसी भी मामले में, यदि आप अपने स्वयं के प्रश्न का उत्तर देने में सक्षम हैं, तो आपने ऐसा करने के लिए प्रोत्साहित किया :)
BE77Y

हां, मैंने इसका उत्तर दिया लेकिन यह फिर से पूछना अधिक उपयोगी होगा कि इसे ठीक करने के बजाय इसे कैसे ठीक किया जाए। क्या ऐसा करना ठीक है?
गिया

1
पूर्ण रूप से। यह उत्तरों को यहां भी प्रासंगिक रखता है (जिस समय से वे पोस्ट किए गए थे, वे सही थे, ठीक हैं?)
कनाडाई ल्यूक

@ गिया: आह, ठीक है - मैं देखती हूं कि अब तुम्हारा क्या मतलब है। मैं 100% से अधिक नहीं हूं कि उस पर सबसे अच्छा अभ्यास क्या माना जाएगा, लेकिन मेरी वृत्ति को शामिल करने के लिए आपके प्रश्न को अपडेट करना होगा "और इसे कैसे हल किया जाना चाहिए?" आपके मामले में, स्टीफन उलरिच की प्रतिक्रिया के अनुसार, "कोमोडो आरएसए प्रमाणन प्राधिकरण" प्रमाण पत्र श्रृंखला से गायब है - आप किसी भी संभावित ग्राहक त्रुटियों से बच सकते हैं लेकिन इसे अपनी श्रृंखला में शामिल कर सकते हैं। यह केवल कभी-कभी वास्तव में बुरा व्यवहार माना जाता है कि यह संभावित अनावश्यक ओवरहेड को हैंडशेक में जोड़ता है - अन्यथा इसका कोई हानिकारक प्रभाव नहीं है।
BE77Y

उपरोक्त के अलावा, यह भी ध्यान देने योग्य है कि अधिकांश नहीं तो सभी आधुनिक ग्राहकों को सेटअप के साथ बिल्कुल ठीक होना चाहिए क्योंकि यह वर्तमान में (SSLlabs परीक्षण के अनुसार) खड़ा है
BE77Y

जवाबों:


8

यदि श्रृंखला पर्याप्त है तो ग्राहक के सीए स्टोर पर निर्भर करता है। ऐसा लगता है कि फ़ायरफ़ॉक्स और Google क्रोम ने 2014 के "COMODO RSA प्रमाणन प्राधिकरण" के लिए प्रमाण पत्र को शामिल किया है। इंटरनेट एक्सप्लोरर के लिए यह संभवतः अंतर्निहित ओएस पर निर्भर करता है। गैर-ब्राउज़र, यानी क्रॉलर, मोबाइल एप्लिकेशन आदि द्वारा उपयोग किए जाने वाले ट्रस्ट स्टोर में सीए को अभी तक शामिल नहीं किया जा सकता है।

किसी भी मामले में श्रृंखला पूरी तरह से सही नहीं है, जैसा कि SSLLabs रिपोर्ट से देखा जा सकता है :

  • एक ट्रस्ट पथ की आवश्यकता है कि नया CA ब्राउज़र द्वारा विश्वसनीय है। इस स्थिति में आप अभी भी नए CA को शिप करते हैं जो गलत है, क्योंकि विश्वसनीय CA को अंतर्निहित होना चाहिए और चेन में निहित नहीं होना चाहिए।
  • अन्य ट्रस्ट पथ अधूरा है, अर्थात इसे एक अतिरिक्त डाउनलोड की आवश्यकता है। Google क्रोम जैसे कुछ ब्राउज़र इस डाउनलोड को करते हैं, जबकि अन्य ब्राउज़र और गैर-ब्राउज़र सभी आवश्यक प्रमाणपत्रों को भेज दी गई श्रृंखला के अंदर समाहित होने की उम्मीद करते हैं। इस प्रकार अधिकांश ब्राउज़र और एप्लिकेशन जिनके पास नया सीए बिल्ट-इन नहीं है, इस साइट के साथ विफल हो जाएंगे।

मैं इस धारणा के तहत हूं कि क्रोम और IE दोनों ही विंडोज सर्टिफिकेट स्टोर का उपयोग करते हैं। क्या आप सुनिश्चित हैं कि Chrome का अपना पूरक स्टोर है?
गिया

SSLlabs में "चेन इश्यूज = कोई नहीं" लिखा है, लेकिन मुझे नीचे दी गई विस्तृत श्रृंखला विश्लेषण दिखाई देता है।
गइआ

1
FWIW, OS X के तहत क्रोम वास्तव में OS प्रमाणपत्र स्टोर @SteffenUllrich का उपयोग करता है।
15:77 बजे BE77Y

1
@ गिया: मोबाइल ग्राहकों को मत भूलना, उनके पास अपना स्वयं का प्रमाणपत्र स्टोर है जो विभिन्न एंड्रॉइड संस्करणों के बीच भिन्न हो सकता है।
स्टेफेन यूरिच

1
@ गिया: SSLLabs द्वारा दिखाए गए दूसरे ट्रस्ट पथ को लें और बस लापता श्रृंखला प्रमाणपत्र जोड़ें। यह श्रृंखला तब दोनों ब्राउज़रों द्वारा मान्य की जा सकती है, जिनके पास नया सीए है और जिनके पास यह सीए नहीं है।
स्टेफेन यूरिच

8

मैंने कोमोडो से संपर्क किया और उनसे एक बंडल.आर्ट फ़ाइल डाउनलोड की। मैंने इस सर्वर के सेटअप के अनुसार इसका नाम बदलकर ssl.ca कर दिया और अब यह सर्टिफिकेट सभी परीक्षणों को पास कर देता है। Chain issues = Contains anchorनोटिस एक समस्या नहीं है (नीचे देखें)।

एसएसएल लैब्स को व्यापक रूप से सबसे पूर्ण परीक्षण माना जाता है, अब दिखाता है Chain issues = Contains anchor, जबकि पहले यह दिखावा करता था Chain issues = None(जबकि अन्य ने श्रृंखला के साथ एक समस्या दिखाई)। यह वास्तव में एक गैर-मुद्दा ( 1 , 2 ) है, एक अतिरिक्त 1kB से सर्वर क्लाइंट को भेजता है।

मेरा निष्कर्ष

  1. SSL लैब्स परीक्षण को अनदेखा करें जहां यह कहता है Chain issues = Contains anchorया बंडल फ़ाइल से रूट सर्टिफिकेट हटा दें (नीचे यह टिप्पणी देखें)।

  2. एसएसएल के कहने पर अपनी श्रृंखला को सुनिश्चित करने के लिए हमेशा अन्य तीन परीक्षण साइटों ( 1 , 2 , 3 ) में से कम से कम एक पर माध्यमिक परीक्षण चलाएं ।Chain issues = None


2
वास्तविक "एंकर" / "रूट" प्रमाणपत्र को शामिल करने का वास्तव में कोई मतलब नहीं है। आप बहुत चाहते हैं, लेकिन मध्यवर्ती प्रमाण पत्र। मुझे लगता है कि आपके पास शुरू में मध्यवर्ती प्रमाण पत्र नहीं था, जो समस्याओं का कारण बना।
हाकन लिंडक्विस्ट

@ HåkanLindqvist तो मुझे समारोहों को डिक्रिप्ट करना चाहिए, पता करें कि कौन सा रूट सर्टिफिकेट है और इसे चेन से हटा दें?
गइआ

1
मैं ऐसा करने का सुझाव दूंगा भले ही यह गंभीर समस्या न हो जैसे कि लापता मध्यवर्ती सेर्ट्स (यह बस थोड़ा बेकार है)। Fwiw, Qualy का SSL टेस्ट इंगित करता है कि यह 02faf3e291435468607857694df5e45b68851868अनावश्यक है।
हाॅक लिंडकविस्ट

@ HåkanLindqvist ने openssl x509 -fingerprint -in ssl.cai nailed का उपयोग करते हुए बताया कि जिस फाइल में फिंगरप्रिंट है 02faf3e291435468607857694df5e45b68851868वह पहला PEM था। मैंने इसे हटा दिया, और अब मुझे i.imgur.com/1iG2UCz.png और i.imgur.com/m8gYbdG.png (OCSP ERROR: अनुरोध OCSP स्थिति के साथ विफल हुआ: 6 ( ocsp.comodoca.com] )
Gaia

3
"एंकर" चेतावनी के संबंध में आपका निष्कर्ष मान्य है - Security.SE पर यह जवाब एक पढ़ने लायक है; सारांश में, इसे भेजने में कोई समस्या नहीं है: security.stackexchange.com/a/24566/7043
क्रिस जे।
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.