google-chrome - Chrome 61 中拒绝的客户端证书

Question

我有一个运行已久的网站，该网站由自行生成的客户端证书保护。它已经运行多年，在任何浏览器(如 IE、Firefox 和 Chrome)上都没有任何问题。

自上次 Chrome 更新 (61.0.3163.100) 以来，客户端证书被拒绝并显示以下错误消息:

This site can’t provide a secure connection

my.domain.com didn’t accept your login certificate, or one may not have been provided.
Try contacting the system admin.
ERR_BAD_SSL_CLIENT_AUTH_CERT

而且该网站继续与任何其他浏览器一起正常工作!我在那里找不到任何相关信息。

我假设 chrome 只是提高了对客户端证书的最低要求，就像几个月前对服务器证书所做的那样。但我不知道如何修复它。

有什么提示我的证书有什么问题吗？

非常感谢

2017 年 12 月 15 日更新

我仍然遇到问题，没有找到任何答案。

一段时间后我发现 Chrome 不喜欢 openssl ca 生成的客户端证书。

我是这样生成证书的:

openssl ca -config openssl.cnf -extensions client -batch -in test.req -out test.cer

我尝试了所有方法，但我无法让它与 Chrome 一起工作，但同样，它与所有其他浏览器一起工作。

现在我正在生成证书:

openssl x509 -req -in test.req -CA ca.cer -CAkey ca.key -extensions client -extfile openssl.cnf -CAserial ca.srl -out test.cer -sha256 

而且它有效，如果我比较 openssl x509 -in test.cer -noout -text，没有NO差异!!所以我想知道 Chrome 不喜欢 openssl ca 的什么地方。

我更喜欢使用 openssl ca 而不是 openssl x509 因为我不能使用 CRL，而且我更喜欢 startdate/enddate 而不是 天。

有什么想法吗？

Answer 1

我是这样生成证书的:

openssl ca -config openssl.cnf -extensions client -batch -in test.req -out test.cer

我尝试了所有方法，但我无法让它与 Chrome 一起工作，但同样，它与所有其他浏览器一起工作。

现在我正在生成证书:

openssl x509 -req -in test.req -CA ca.cer -CAkey ca.key -extensions client -extfile openssl.cnf -CAserial ca.srl -out test.cer -sha256 

而且有效!

如果我比较 openssl x509 -in test.cer -noout -text 的输出，没有 差异!!所以我想知道 Chrome 不喜欢 openssl ca 的什么地方。