Score:-1

ไม่พบใบรับรองรูต Focal ของ Ubuntu

ธง cn

บริษัทของฉันได้ออกใบรับรองการออกและการลงนามหลักของตนเอง เซิร์ฟเวอร์ของฉันมีใบรับรอง ssl สำหรับ apache ฉันใส่รูทและ 4 ใบรับรองการออกใน /etc/ssl/certs จากนั้นฉันก็รัน update-ca-certificates ฉันเรียกดูเว็บไซต์โดยใช้ Chrome และได้รับข้อผิดพลาดในการตรวจสอบใบรับรอง ฉันทำตามขั้นตอนเหล่านี้หลายครั้งโดยไม่มีข้อผิดพลาด ทีม PKI ของเรายืนยันว่าใบรับรองถูกต้อง ฉันควรตรวจสอบอะไรอีกบ้าง

ภาพ

Score:1
ธง in

Chrome ไม่ได้ใช้ใบรับรองใน /etc/ssl/ใบรับรอง แต่มาพร้อมกับรูท CA store ของตัวเองใน Linux ดังนั้นคุณต้องนำเข้า root CA ใน Chrome (จัดการใบรับรองภายในการตั้งค่า) เช่นเดียวกับ Firefox โดยใช้ที่เก็บ CA ของตัวเองที่ไม่ได้แชร์กับ Chrome

Mike Fry avatar
cn flag
ขอขอบคุณ. ฉันควรจะบอกว่าฉันได้นำเข้าใบรับรองรูทไปยัง Chrome ฉันได้เปรียบเทียบสิ่งนี้เมื่อไซต์ภายในอื่นปลอดภัยด้วยเชนเดียวกัน และมันก็ดี สิ่งนี้บอกฉันว่า Chrome มีใบรับรองรูทที่ถูกต้อง ยิ่งฉันขุดคุ้ยเรื่องนี้มากเท่าไหร่ก็ยิ่งนำไปสู่การเป็นใบรับรองที่ไม่ดี
Steffen Ullrich avatar
in flag
@MikeFry: ตรวจสอบใบรับรองที่แสดงใน Chrome สำหรับไซต์นี้และดูว่าใบรับรองนั้นแสดงห่วงโซ่ความน่าเชื่อถือไปยัง CA ที่คุณนำเข้าหรือไม่ หากใบรับรองเซิร์ฟเวอร์เป็นใบรับรองที่คาดไว้ (ตรวจสอบหัวเรื่อง การหมดอายุ - ลายนิ้วมือในอุดมคติ) และหากห่วงโซ่ความน่าเชื่อถือแสดงต่อ CA ที่คาดหวัง แสดงว่ามีอย่างอื่นผิดปกติ เช่น เวลาที่ไม่ถูกต้องบนเครื่อง โปรดตรวจสอบ (และระบุในคำถามของคุณ) ข้อความแสดงข้อผิดพลาดจริงที่คุณได้รับใน Chrome และรายละเอียดที่แสดงหลังจากคลิกลิงก์ไปยังข้อมูลขั้นสูง
Score:-1
ธง cn

เริ่มต้นด้วยการตรวจสอบรายละเอียดของข้อผิดพลาดในการตรวจสอบใบรับรอง ซึ่งจะบอกคุณว่าทำไมการตรวจสอบจึงล้มเหลว ดำเนินการตรวจสอบต่อจากที่นั่น ตัวอย่างเช่น หาก Chrome อ้างว่าใบรับรองยังไม่ถูกต้อง ให้ตรวจสอบการตั้งค่านาฬิกาของเครื่องที่เกี่ยวข้องทั้งหมด หาก Chrome แจ้งว่าผู้ออกไม่น่าเชื่อถือ ให้ตรวจสอบว่าได้ติดตั้งใบรับรองหลักของบริษัทของคุณหรือไม่ หากมีเหตุผลอื่น การตรวจสอบอื่นๆ จะเกี่ยวข้อง

ru flag
OP ระบุว่าพวกเขาได้ตรวจสอบความถูกต้องของใบรับรองแล้ว พวกเขากำลังใช้ /etc/ssl/certs ซึ่งเป็นที่เก็บระบบส่วนกลางที่ Chrome และ Firefox ไม่ได้ใช้ใน Linux ซึ่งหมายความว่าพวกเขาจำเป็นต้องนำเข้าห่วงโซ่ใบรับรอง CA เข้าสู่ Chrome และ Firefox และนั่นควรแก้ไขปัญหาได้ (ตามที่ระบุในคำตอบอื่น ๆ )
Tilman avatar
cn flag
ฉันไม่คิดว่าคุณอ่านคำถามอย่างถูกต้อง OP ระบุว่าพวกเขาใส่ใบรับรองใน `/etc/ssl/certs` บน *เซิร์ฟเวอร์* แต่ข้อผิดพลาดในการตรวจสอบเกิดขึ้นใน *ไคลเอ็นต์* ดังนั้นเขาจึงต้องตรวจสอบว่าเหตุใด *ไคลเอ็นต์* จึงอ้างว่าใบรับรองไม่ถูกต้องในขณะที่ *เซิร์ฟเวอร์* ยืนยันว่าถูกต้อง
ru flag
หากพวกเขาเป็น CA ที่กำหนดเองตามที่ OP กล่าว ("บริษัท ของฉันได้ออกใบรับรองการออกและการลงนามรูทของตัวเอง") ดังนั้นใบรับรองการลงนามสำหรับ CA ที่กำหนดเองยังคงต้องนำเข้า Chrome และ Firefox อย่างอิสระ ที่ยังคงได้รับโดยไม่คำนึงถึง CA ที่กำหนดเองไม่ได้รับการยอมรับโดยอัตโนมัติ (ฉันรู้เรื่องนี้จากประสบการณ์ ฉันมี CA แบบกำหนดเองที่มีการเซ็นชื่อหลายรายการและใบรับรองระดับกลาง และหลายกลุ่มที่ฉันทำงานด้วยก็ทำเช่นกัน วิธีแก้ไขคือ "นำเข้า CA เหล่านี้ไปยังร้านค้า Chrome และ Firefox ก่อน" - โดยไม่คำนึงถึงสถานการณ์)
Tilman avatar
cn flag
แน่นอน. แต่ OP ยังระบุว่ามันได้ผลในครั้งก่อนๆ ดังนั้นจึงค่อนข้างเป็นไปได้ว่าเขาทำไปแล้ว ดังนั้นก่อนที่จะข้ามไปสู่ข้อสรุป เขาควรทำตามขั้นตอนการแก้ไขปัญหาที่เหมาะสม โดยเริ่มจากการดูข้อความแสดงข้อผิดพลาดจริงๆ โปรดทราบว่าฉันได้ตั้งชื่อโซลูชันของคุณเป็นผลลัพธ์เดียวที่เป็นไปได้แล้วเพียงแต่ยังไม่แน่ใจว่าเป็นเหตุผลจริง ๆ ตามข้อมูลในคำถาม
Mike Fry avatar
cn flag
สองสามปีที่ผ่านมา เมื่อเราเปลี่ยนไปใช้ CA ภายใน ฉันได้เขียนแพ็คเกจเดเบียนที่นำเข้าใบรับรองที่จำเป็นทั้งหมดไปยังร้านค้าสำหรับ Chrome และ Firefox ขอบคุณสำหรับทุกความคิดเห็นและข้อเสนอแนะ เรากำลังจะลองใช้ความแตกต่างของ CA ที่ทีม PKI ของเรามอบให้เรา

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา