自己署名証明書を使用したChromeで「net :: ERR_CERT_COMMON_NAME_INVALID」エラーを取り除くことができません


19

Webには、内部ネットワークで使用する自己署名証明書を設定するのが困難な多くの質問があります。

いくつかリンクするだけ:
Chromeで自己署名ローカルホスト証明書を受け入れるChrome自己署名ローカルホスト証明書を
受け入れる
Chrome 58で動作するopensslで自己署名証明書を生成する
StartCom証明書エラー:ERR_CERT_AUTHORITY_INVALID

私はそれらすべてを一つ一つ調べましたが、それでも(net::ERR_CERT_COMMON_NAME_INVALID).エラーを取り除くことはできません。

手順は次のとおりです。

  • サーバーでの鍵と証明書の生成

    openssl req \          
    -newkey rsa:2048 \
    -x509 \
    -nodes \
    -keyout file.key \
    -new \
    -out file.crt \
    -subj /CN=Hostname \
    -reqexts SAN \
    -extensions SAN \
    -config <(cat /etc/ssl/openssl.cnf \
        <(printf '[SAN]\nsubjectAltName=DNS:192.168.0.1')) \
    -sha256 \
    -days 3650
    
  • 安全に接続するために、新しく生成された証明書とキーファイルを使用するようにサーバープロセス(apache)を設定する

  • 移動して、クライアントにサーバーから証明書ファイルをエクスポートhttps://192.168.0.1:3122を通じてクローム開発ツールと使用してエクスポートオプションを
  • を使用して既知の認証局(Fedora 26)のリストにCAを追加する
    • certutil
    • sudo cp file.crt /etc/pki/ca-trust/source/anchors; sudo upate-ca-trust
  • クロームの再起動

私ものためにさまざまな値を試してみましたCNように、上記フィールド:hostnamecommon.name.comCommon Name192.168.0.1

このすべての後でも、https://192.168.0.1:3122に移動するとエラーが持続し、何をしているのか分からなくなります。

テキスト表現は次のようになります。

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            9e:ae:33:24:3a:2d:2b:e2
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: CN = Hostname
        Validity
            Not Before: Oct 28 20:18:06 2017 GMT
            Not After : Oct 26 20:18:06 2027 GMT
        Subject: CN = Hostname
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:a4:80:6c:3a:1b:5e:c4:e6:f6:7d:a5:be:d6:cd:
                    d9:23:bd:1a:b1:e6:f1:e3:b0:76:47:37:a3:d8:b0:
                    60:44:23:c3:8a:58:1c:c3:0a:99:3d:42:32:ca:8b:
                    ec:31:9d:a8:df:6c:13:43:e6:78:12:b8:24:04:5a:
                    9f:6e:11:24:2a:56:e3:20:36:78:a4:cc:ed:45:7c:
                    a3:c1:36:7b:25:f6:6b:2d:01:59:02:74:8b:7a:13:
                    ec:83:63:90:2e:a0:a3:aa:23:de:ea:f0:8e:1f:99:
                    b9:50:b1:5f:64:e4:c9:91:c0:0c:56:15:3c:c0:ff:
                    0f:bf:e1:af:7a:bf:51:40:37:b0:34:20:95:a1:05:
                    14:k2:35:20:e8:98:48:65:ad:26:cc:de:a2:50:48:
                    77:8c:e2:7a:d5:bd:83:96:86:ef:20:79:2f:15:a3:
                    07:48:f4:1f:c7:9d:a1:4b:bd:ee:47:83:51:f3:09:
                    27:ed:b7:09:c8:56:40:0c:68:25:92:d8:62:dc:14:
                    6c:fa:f1:e3:93:1b:79:3c:58:9c:53:69:ff:6a:0f:
                    ee:4c:9f:8e:22:2d:62:6b:b3:ae:22:d6:e3:d0:bd:
                    06:43:a7:c3:e1:1e:23:07:61:b0:4e:64:14:92:0c:
                    5b:f1:a8:c5:29:67:64:7d:65:10:b9:60:41:b8:3b:
                    1y:1f
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Subject Alternative Name:
                DNS:192.168.0.1
    Signature Algorithm: sha256WithRSAEncryption
         11:65:6d:86:04:7f:5a:b0:ce:b2:6e:95:7e:03:8c:fe:a9:d0:
         81:2c:6f:50:63:2e:91:77:79:cd:27:32:b0:19:2b:ac:ea:c0:
         4b:f7:56:d9:be:34:54:f1:a6:1d:bc:d0:3b:bb:bf:90:0e:2d:
         1d:83:28:97:8e:f8:37:5d:3e:00:5a:cd:3d:36:5d:c4:5d:a8:
         7e:a4:59:f0:91:3d:af:3d:28:03:3e:78:3b:5b:0a:fb:24:34:
         02:a2:09:ec:d6:0c:58:63:ab:69:26:5e:fe:1d:1f:19:54:0f:
         68:4e:31:f9:de:1e:de:86:81:3f:b7:62:c5:67:02:05:a2:7a:
         03:f4:b5:3b:ba:c4:ba:26:8e:a2:ee:1c:ef:69:63:07:b0:97:
         fd:a8:42:e2:11:6d:de:b5:70:a5:4a:62:d2:62:d9:5b:17:f4:
         d5:cd:6f:71:75:dd:35:33:55:52:2e:30:29:f8:42:ec:b9:d3:
         82:85:a1:e7:f6:f5:90:dd:cb:07:15:a7:44:70:1c:93:e6:ec:
         03:3a:be:41:87:3c:f0:a4:88:a5:65:d9:29:2c:78:de:90:b8:
         6a:8b:99:6e:d0:e5:8c:08:a4:71:51:fd:1d:e1:8c:0c:17:d5:
         b0:31:fc:7f:99:23:dd:1a:c4:0b:45:17:68:88:67:c6:22:df:
         2b:ac:ea:c0

このような目的でSSL / TLS証明書を設定するのは今回が初めてであることに注意してください。エラーを取り除く方法についてアドバイスしてください。


証明書のテキスト表現を質問に追加します。を使用しopenssl x509 -noout -text -in <filename>ます。
-garethTheRed

テキスト表現を追加しました。
アシュシュクマールシン

Chromeは、IPアドレスがDNS名ではなくSAN拡張のIPアドレスとしてエンコードされることを期待していると思います。
Crypt32

回答:


25

Chrome 58以降は、証明書の一般名(CN)と一致しなくなりました。

現在は、SAN代わりにサブジェクトの別名()を使用しています。

SAN適切DNSまたはIPエントリを含める必要があります。

  • DNSを使用する場合、解決可能なFQDN名にする必要があります。
  • IPアドレスを使用する場合、SANチェーン内でIPアドレスを明示的に指定する必要があります。

とはいえ、これは動作するはずです:

openssl req \
-newkey rsa:2048 \
-x509 \
-nodes \
-keyout file.key \
-new \
-out file.crt \
-subj /CN=Hostname \
-reqexts SAN \
-extensions SAN \
-config <(cat /etc/ssl/openssl.cnf \
    <(printf '[SAN]\nsubjectAltName=DNS:hostname,IP:192.168.0.1')) \
-sha256 \
-days 3650

1
具体的には、これはtools.ietf.org/html/rfc6125#section-5.7.3.1によるもので、「X.509証明書を使用したTLS認証の場合、DNS名前空間のIDは、dNSName型の各subjectAltName拡張に対してチェックする必要があります」そのような拡張子が存在しない場合、証明書のサブジェクトフィールドの(最も具体的な)共通名とIDを比較する必要があります。したがって、SANが存在する場合、CNはチェックされません。
ジェイソンマーティン

7
間違っている場合は修正しますが、Chromeは一般名にフォールバックする証明書を受け入れません。そのため、SANが存在しない場合でも、CNはチェックされません。したがって、SANは必須のようです。
krisFR

@krisFRが正しいのは、SAN拡張機能のない証明書で既に試行したため失敗しました。IPフィールドを指定することが解決策でした。
アシュシュクマールシン

1
命の恩人。Windowsでこれを試してみる人のために、Cygwinには次のopenssl.cnfのコピーが付属しています。 localhostの代わりにホスト名
abelito

完璧に働きました!:この手順で証明書を追加する必要がありましたcorvil.com/kb/...
ヨタ
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.