ドメインとサブドメインの自己署名証明書の作成-NET :: ERR_CERT_COMMON_NAME_INVALID

このチュートリアルに従って、開発目的でWindowsで署名付きSSL証明書を作成しましたが、ドメインの1つでうまく機能しました（DNSをシミュレートするためにhostsファイルを使用しています）。それから私は私がたくさんのサブドメインを持っていると思いました、そしてそれはそれらのそれぞれのために証明書を作成するためのお尻の苦痛でしょう。そこでCommon、serverfaultでの回答のいくつかで提案されているように、フィールドでワイルドカードを使用して証明書を作成してみました。このような：

Common Name: *.myserver.net/CN=myserver.net

ただし、この証明書を信頼されたルート証明機関にインポートした後NET::ERR_CERT_COMMON_NAME_INVALID、Chromeで、メインドメインとそのすべてのサブドメイン（例：https://sub1.myserver.netおよび）でエラーが発生しますhttps://myserver.net。

このサーバーは、それがmyserver.netであることを証明できませんでした。そのセキュリティ証明書は* .myserver.net / CN = myserver.netからのものです。

これは、設定の誤りまたは攻撃者が接続を傍受したことが原因である可能性があります。

このエラーの原因となっている共通名フィールドに何か問題がありますか？

Rahulが述べたように、これは一般的なChromeとOSXのバグです。私は過去に同様の問題を抱えていました。実際、ローカルサイトの作業をテストするときに、2回[はい、それほど多くないことはわかっています]追加クリックすることにようやく飽きました。

[Windowsを使用して]この問題の可能な回避策として、利用可能な多くの自己署名証明書ユーティリティの1つを使用します。

推奨手順：

1. 自己署名証明書を作成する
2. 証明書をWindows証明書マネージャーにインポートする
3. クローム証明書マネージャで証明書のインポート
   注：ステップ3は、経験した問題を解決します一度、近い将来にはETAはありませんでした古いで時間を考慮... Googleのアドレスバグを**。
   
   同じくらい私はChromeを使用することを好むよう開発中、最近Firefox DeveloperEditionを使用しています。この問題はありません。
   
   お役に立てれば ：）

Chrome 58は、サブジェクト代替名のない証明書のサポートを終了しました。

今後、これがこのエラーが発生するもう1つの理由になる可能性があります。

回避策は、「subjectAltName」（X509v3サブジェクト代替名）として使用するドメイン名を追加することです。これは、OpenSSL構成（/etc/ssl/openssl.cnfLinuxの場合）を変更し、v3_reqセクションを次のように変更することで実行できます。

[ v3_req ]

# Extensions to add to a certificate request

basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = myserver.net
DNS.2 = sub1.myserver.net

これが整っ-extensions v3_reqたら、新しい証明書を生成するときにスイッチを使用することを忘れないでください。（OpenSSLを使用してSubjectAltNameで自己署名証明書を生成するにはどうすればよいですか？も参照してください）。

openssl.confファイルの作成：

[req]
default_bits = 2048
default_keyfile = oats.key
encrypt_key = no
utf8 = yes
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no

[req_distinguished_name]
C = US
ST = Cary
L = Cary
O  = BigCompany
CN = *.myserver.net

[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1 = myserver.net
DNS.2 = *.myserver.net

このコマンドを実行します。

openssl req -x509 -sha256 -nodes -days 3650 -newkey rsa:2048 -keyout app.key -out app.crt  -config openssl.conf

ファイルapp.crtを出力app.keyして、私のために働きます。

ワイルドカード*.example.comはルートドメインをカバーしませんexample.comが、またはなどのサブドメイン上のすべてのバリアントをカバーしますwww.example.comtest.example.com

推奨される方法は、Fabianの回答のようにサブジェクト代替名を確立することですが、Chromeでは現在、サブジェクト代替名の1つとして共通名を追加でリストする必要があることに注意してください（彼の回答で正しく示されているため）。最近example.com、SANwww.example.comとの共通名を持っていたためにこの問題を発見しましtest.example.comたが、NET::ERR_CERT_COMMON_NAME_INVALIDChromeから警告が表示されました。example.com共通名とSANの1つを使用して、新しい証明書署名要求を生成する必要がありました。その後、Chromeは証明書を完全に信頼しました。また、ウェブサイトを識別するための信頼できる機関として、ルート証明書をChromeにインポートすることを忘れないでください。

Chromeのバグかもしれないと思います。ずっと前に同様の問題がありました： これを見てください。

別のブラウザで試してください。うまくいくはずだと思います。

これに遭遇し、それをテストするリスクを受け入れたいすべての人のために、解決策があります。Chromeでシークレットモードに移動すると、[詳細設定]を開いて[some.urlに進む]をクリックできます。

これは、自分で管理していて開発者としてテストしているWebサイトを確認する必要がある場合（および適切な開発証明書がまだ構成されていない場合）に役立ちます。

もちろん、これは、このエラーがWebサイトのセキュリティに問題があることを示している本番環境でWebサイトを使用しているユーザー向けではありません。

このエラーにうんざりしている場合。Chromeがこのように動作しないようにすることができます。私はそれが方法だと言っているだけでそれが最善の方法だと言っているのではありません。

回避策として、Windowsレジストリキーを作成して、証明書にsubjectAlternativeName拡張子がない場合に、サーバー証明書のcommonNameを使用してホスト名と一致させることができます。ただし、証明書が正常に検証され、ローカルにインストールされたCAにチェーンされます。証明書。

データタイプ：ブール値[Windows：REG_DWORD] Windowsレジストリの場所：HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Google \ Chrome Windows / Mac / Linux / Androidプリファレンス名：EnableCommonNameFallbackForLocalAnchors値：0x00000001（Windows）、true（Linux）、true（Android）、 （Mac）Windowsレジストリキーを作成するには、次の手順に従ってください。

メモ帳を開く次のコンテンツをコピーしてメモ帳に貼り付けますWindowsレジストリエディタバージョン5.00

[HKEY_LOCAL_MACHINE \ SOFTWARE \ Policies \ Google \ Chrome] "EnableCommonNameFallbackForLocalAnchors" = dword：00000001ファイルに移動>ファイル名として保存：any_filename.regタイプとして保存：すべてのファイル

ファイルの優先場所を選択します

[保存]をクリックします

保存したファイルをダブルクリックして実行します

レジストリエディタの警告で[はい]をクリックします

この情報は、Symantecサポートページで見つかりました：https： //support.symantec.com/en_US/article.TECH240507.html

ローカル開発とテスト用のPWAを作成している間、提供された回答は私（ChromeまたはFirefox）では機能しませんでした。生産には使用しないでください！私は以下を使用することができました：

1. 次のオプションを備えたオンライン証明書ツールサイト：
   • 一般名：システムの「localhost」とIPの両方を追加します（例：192.168.1.12）
   • サブジェクト代替名：「DNS」= "localhost"および "IP" =を追加 <your ip here, e.g. 192.168.1.12>
   • 「自己署名」に設定された「CRS」ドロップダウンオプション
   • 他のすべてのオプションはデフォルトでした
2. すべてのリンクをダウンロード
3. ダブルクリックして.p7b証明書をWindowsにインポートし、[インストール] / OSXを選択しますか？/ Linux？
4. ノードアプリに証明書を追加... GoogleのPWAの例を使用
   • const https = require('https'); const fs = require('fs');server.jsファイルの先頭に追加します
   • return app.listen(PORT, () => { ... });server.jsファイルの下部にコメントアウト
   • 以下に追加 https.createServer({ key: fs.readFileSync('./cert.key','utf8'), cert: fs.readFileSync('./cert.crt','utf8'), requestCert: false, rejectUnauthorized: false }, app).listen(PORT)

ChromeやFirefoxでエラーはもうありません