google-chrome - Mac OS X - 接受自签名多域 SSL 证书

Question

我有多个域的自签名证书(比如 my.foo.bar.com 和 yours.foo.bar.com)，我使用 Keychain Access 导入了它，但 Chrome 仍然不接受它， 每个域在每次浏览 session 开始时提示我进行验证。

证书是使用 x509v3 subject alternative name 扩展生成的，用于验证多个域。如果我在导入证书之前导航到该站点，我收到的警告消息与导入证书之后不同。下面附上两个错误的图片(上面是导入前的错误)

有什么方法可以接受自签名的多域证书吗？顺便说一句，我只在 Chrome 中收到警告。 FF 和 Safari 工作得很好(除了那些浏览器很烂；))

更新:我尝试使用 openssl cli 和 xca 生成证书界面

Answer 1

问题是您尝试使用过于宽泛的通配符(* 或 *.com)。

规范(RFC 6125 和 RFC 2818 Section 3.1)谈到“最左边”标签，这意味着应该有多个标签:

 1.  The client SHOULD NOT attempt to match a presented identifier in
     which the wildcard character comprises a label other than the
     left-most label (e.g., do not match bar.*.example.net).

 2.  If the wildcard character is the only character of the left-most
     label in the presented identifier, the client SHOULD NOT compare
     against anything but the left-most label of the reference
     identifier (e.g., *.example.com would match foo.example.com but
     not bar.foo.example.com or example.com).

我不确定是否有规范说明应该有多少个最小标签，但是 Chromium code表示必须至少有2个点:

We required at least 3 components (i.e. 2 dots) as a basic protectionagainst too-broad wild-carding.

这确实是为了防止像 *.com 这样过于宽泛的情况。这可能看起来很不方便，但 CA 偶尔会犯错误，并且采取措施防止颁发给 *.com 的潜在恶意证书正常工作并不一定是坏事。如果我没记错的话，有些实现比这更进一步，并且有一个列表域对于二级域来说太宽泛了(例如 .co.uk)。

关于你的第二个例子:“CN:bar.com, SANs: DNS:my.foo.bar.com, DNS:yours.foo.bar.com”。此证书应该对 my.foo.bar.com 和 yours.foo.bar.com 有效，但对 bar.com 无效。当不存在 SAN 时，CN 只是一个后备解决方案。如果有任何 SAN，则应忽略 CN(尽管某些实现会更宽容)。