macos - MacOS上的Chrome发出“ERR_CERT_WEAK_SIGNATURE_ALGORITHM”警告

Question

在macOS上使用Chrome浏览器访问一个网站时出现错误NET::ERR_CERT_WEAK_SIGNATURE_ALGORITHM。该网站的网址是公司内部网址，因此我无法在此处粘贴网址（无论如何您都无法访问）。

Chrome版本75.0.3770.142。

macOS版本是Mojave（10.14.4）。

Chrome devtools的“安全性”标签显示2个错误：


证书-不安全（SHA-1）：此站点的证书链包含使用SHA-1签名的证书。
证书-丢失：此站点缺少有效的受信任证书（net :: ERR_CERT_WEAK_SIGNATURE_ALGORITHM）。




我可以绕过警告，但是每次页面更改/页面刷新（很无聊）之后，警告都会再次出现。

我知道为什么显示警告1：叶子证书是使用RSA签名算法为SHA-1的证书签名的。 Chrome将此检测为弱。 （我可以接受这种行为）

我猜警告1表示警告2：不能信任叶证书。

我不明白的是：


为什么在同一台macOS计算机上使用Firefox不会出现问题
为什么我从另一台macOS计算机使用相同版本的Chrome时没有相同的问题
为什么在Windows计算机上使用相同版本的Chrome不会遇到相同的问题


附带说明，Windows计算机上的Chrome显示相同的Certificate - insecure (SHA-1)，但警告2 ERR_CERT_WEAK_SIGNATURE_ALGORITHM不存在。

这让我发疯！

有人对此有想法吗？

有谁知道如何/何时/为什么提出这些警告？ （我可能会研究Chromium源代码，但不知道Chromium是否可以处理这种机制）

我真的不明白为什么在配置上会有如此相似的行为……

谢谢你的帮助，

罗曼

Answer 1

URL是公司的，因此证书由您的公司签名。这对于许多公司网站/内联网都是正常的。


Chrome假定SHA1较弱，但是可以。它是公司Intranet的公司证书（我假设它是Intranet URL或类似名称），因此使用SHA1没问题。
该站点缺少有效的受信任证书，这意味着当前的URL证书无法被任何全球权威机构验证（这是正常的，它是由Intranet管理员在内部创建的，供内部使用），然后该消息警告您，它是不可信的：此处不可信表示您的计算机不知道该怎么做，它尝试通过互联网检查它是否可以被信任，但是它找不到任何要答复的权限，因此警告您由您采取某些操作（忽略，避免使用url，检查证书或信任它）


解：

在MacOS上，您必须将该证书添加到KeyChain中，通过这种方式，您有意告诉操作系统和任何需要验证证书可信的应用程序。

去做吧：


单击Chrome上的“查看证书”以打开证书（如上图所示）
打开后，单击其方形图（很难解释这一点，我将在下面放置图片），然后
将证书拖到桌面（或任何文件夹，这是临时的）





转到查找器，双击刚刚保存的证书，您将看到如下图所示的对话框：





单击添加（钥匙串必须是登录名，如上图所示）
此时，Keychain Utility应该会自动打开，如果没有打开，请在Mac上打开KeyChain Utility。在“登录钥匙串”中找到证书（下面的示例图片）





您会看到它已添加，但尚未被信任。因此，我们将告诉系统我们信任它，并且通过信任它，Chrome和Safari等应用程序将不再显示该警告。因为他们将检查系统是否信任SSL证书。
双击它在钥匙串上，它将打开，单击小三角形以展开“信任”项。
选择“安全套接字层（SSL）”项，然后将值“始终信任”





通过单击其窗口上的红色X按钮关闭证书。它将要求您输入密码以保存证书的新设置。





输入密码，单击更新设置


现在，它将显示一个蓝色图标，并显示一条消息，告知您该帐户已被标记为受信任。



就是这个。

Chrome消息将消失，因为现在该证书已受信任。

注意：您现在可能正在考虑...“我从未在另一台Mac上做到过”，并且您解释说在另一台Mac上的Chrome上没有该问题。我想在另一台Mac上，您至少使用Safari访问过该公司网址一次。当您通过Safari访问时，它会向您发出类似Chrome的警告，但是如果您在Safari上接受它，它会自动为您自动完成所有本教程过程：它只是询问您是否仍要继续，请单击“继续” ，Safari会要求您输入密码，然后将证书放在钥匙串上，并将其标记为受信任（完全像我们所做的那样），但透明。下次您访问公司URL时，系统将不会再询问您，因为其证书已在您的钥匙串上被信任。以后，如果您随后使用Chrome浏览器访问它，它将不会询问您，因为它将看到钥匙串已具有该公司证书为受信任证书。

这很可能就是您的其他Mac没有这种情况的原因。

PS：我可以在这里回答：使用Safari访问它，接受并继续，它再也不会询问。但这不是正确的答案。它不会解释原因，并且超出您提出的方案。因此，由于您使用的是Chrome，因此我在介绍此过程时会考虑您在此处介绍的确切应用和具体情况，并阐明其中的原因。

当然，现在，由于您知道有两种方法可以进行此证书安装过程，因此可以选择更喜欢的一种。

_



注意：如@ patrick-mevzek所述


  “在MacOS上，您必须将该证书添加到KeyChain中”，然后您
  每次证书更改或更改时将需要再次执行此操作
  更新了。并且如果由私有CA签名，并且如果您在
  信任存储，然后您就可以接受各种MitM攻击，因为此CA可以
  签署任何名称的证书，通常是/通常是标准名称
  在公司PKI中进行设置，但您必须意识到后果。
  ”




我同意@ patrick-mevzek的观点，他是正确的，并且他在这个话题上发表了重要的看法。

我通过展示如何检查将要添加到钥匙串的公司证书是CA证书还是普通的无害端到端SSL证书来扩展他提到的观点（特别是对于MacOS）。

再次打开该证书，向下滚动它的信息，直到找到“使用”项，如下图所示。

在下图中，有2种证书：


左侧有一个CA证书：如果您的公司需要，它可以用作MitM解密器。它只需要您和互联网之间的代理，浏览器的流量就会通过该代理传递。而且，如果您的钥匙串上具有这种受信任的证书，则必须注意，公司代理可以（如果需要恶意管理员的话）解密加密的HTTPS流量，并将与您的连接有关的所有机密信息记录到任何地方。
在右侧，所有网站和互联网域都使用一个简单而通用的SSL证书，其目的只是为了在您和访问的域之间进行端到端加密，以对您的流量进行加密。它不能用作连接流量数据的MitM解密器。在您的钥匙串上值得信赖的这种方式是绝对安全的。




让我们考虑一下您的情况很危险，该证书是CA证书，并且已添加并信任它。

有没有办法让您知道您的流量是否被公司解密并且您的信息被泄露？

就在这里。

在任何浏览器上，当您访问任何重要站点时，请选择一个银行，例如，在此示例中，我选择“ hsbc.com.br”，我将显示两种情况：


正常的端到端加密必须始终如此
MitM情况解密了银行敏感的私人数据。


访问任何重要的https站点时，即使您在Chrome或safari上看到绿色图标，表明连接已加密，也要检查其证书，以确保中间没有人。

_

这是正常和安全的情况：
汇丰银行证书由DigiCert Inc.发行，也是EV类型，可提供更强的身份保证。





现在，将代理放在中间，然后执行MitM atack。

这是我几分钟前才到的汇丰银行，但是我在网络上插入了MitM代理技术，并且我在MacOS钥匙串上信任了那种证书[CA Certificate]。

让我们看看Chrome浏览器对银行网站的启示：



它告诉我它是安全的，并且还说我的信息将是私人的！

但是Chrome是错误的！ （而且它不知道这是错误的，因为它超出了它）

让我们再次打开证书：（我刚刚激活了代理并重新加载了页面）




很容易注意到其中的区别，虚假的汇丰银行证书是由我自己的网络内部个人证书颁发机构颁发的。这是由我的代理自动完成的，该代理能够以两种方式读取我在汇丰银行网站上以纯TXT格式插入的所有信息。然后，它再次加密数据并发送到我的浏览器，反之亦然，在与HSBC服务器通信时进行相同的重新加密。

浏览器“认为”一切正常，因为连接已加密，证书上的站点名称匹配我正在访问的URL地址，证书有效，并且在我的钥匙串上受信任的CA Authority！

从技术上讲，一切都很好，但事实并非如此。

正如@ patrick-mevzek所提到的，这是暴露的真正危险，您必须要意识到。