SSL 实验室 : Incorrect Order, 额外证书

Question

我收到来自 https://www.ssllabs.com/ssltest/analyze.html?d=api.quotecrunchers.com 的错误“链问题:顺序不正确，额外证书”当我为我的网站测试 SSL 时。

我已经使用以下方法将 https 机制构建到 spring boot 应用程序中:

1. 与 Let's Encrypt CA 通信的 acme4j 库。

2. 将 Let's Encrypt 证书写入 java keystore 的 Java 代码。

3. Java 代码使嵌入式 Tomcat 服务器通过 HTTP 从 Let's Encrypt 申请证书，然后在获得证书后使用 HTTPS 重新启动。

我计划在整理完这段代码后将其开源。

不过目前，我使用 ssllabs.com 只获得了 B 评级

参见 https://www.ssllabs.com/ssltest/analyze.html?d=api.quotecrunchers.com

我的 https 有几个问题，但我担心的问题是它说“链问题:顺序不正确，额外证书”。

为什么我会得到这个，我应该怎么做？

非常感谢任何帮助!

Answer 1

当一个人连接到您的网站时，openssl s_client 看到的是它发送的内容:

Certificate chain
 0 s:/CN=api.quotecrunchers.com
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
 1 s:/CN=api.quotecrunchers.com
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
 2 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3

如您所见，第一个证书是重复的，这正是评级和错误消息的原因。

当您配置 TLS 服务器时，您通常在一端指定端(服务器)证书，即一个证书，它会出现在 0 位置，如上所示，然后您(可选，但非常频繁)提供一个潜在的链接证书列表，称为“中间”，它将您的最终证书链接到某个根(CA)证书，CA 证书本身可能是链中的最后一个或完全跳过。

那会在 1 位置，然后在上面的跟踪中。

但如您所见，在位置 1，因此作为中间证书，我们再次找到您的最终证书。

根据 TLS 标准，这是不正确的，因此您需要更改您的配置或包含中间证书的文件以从此位置删除您的最终证书，以便您最终设法获得:

Certificate chain
 0 s:/CN=api.quotecrunchers.com
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
 1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3