Chrome non mostra la barra verde con SSL EV ma Firefox e IE lo fanno

Question

Chrome non mostra la barra verde con SSL EV ma Firefox e IE lo fanno

#1 da (7 voti)
#2 da (5 voti)
#3 da (3 voti)

8

Ho appena installato un certificato SSL EV sul mio server. È stato eseguito correttamente e funziona, il problema è che Chrome non mostra il nome della società nella barra degli indirizzi verde, mostra solo il lucchetto verde e il https verde: // come si ottiene quando si ha un certificato SSL standard.

IE e Firefox visualizzano la barra verde e il nome dell'azienda come dovrebbero.

Qualcuno sa perché sto riscontrando questo problema con chrome?

Non ho contenuti insicuri sulla mia pagina, ho eseguito un controllo con ssllabs.com e i risultati sono tornati 'B' perché

This server does not mitigate the BEAST attack. Grade capped to B

BEAST attack Vulnerable INSECURE (more info)

RC4 Yes PROBLEMATIC (more info)

Qualcuno sa come faccio a risolvere questo problema? Significa che Chrome esegue test più approfonditi per verificare se è valido, più di altri browser.

Grazie.

apache chrome tls

posta Richard 12.06.2013 - 16:01

fonte

3 risposte

Leggi altre domande sui tag apache chrome tls

Spoof IP address dopo un handshake TCP "Double hashing" con 2 diverse funzioni hash

score 7 · Answer 1

BEAST attack Vulnerable INSECURE (more info)

RC4 Yes PROBLEMATIC (more info)

Questi avvisi non sono direttamente correlati al tuo certificato. Sono più sulla tua configurazione SSL. Quando un client si connette al server su SSL, il client e il server negozieranno i protocolli che vogliono utilizzare per scambiare le chiavi e crittografare i dati.

BEAST è una vulnerabilità con SSLv3 e TLSv1. Fondamentalmente c'è un difetto criptato in SSLv3 e TLSv1 (risolto in TLSv1.1, che non è ampiamente implementato) che consente ad un hacker (man-in-the-middle) di attaccare le sessioni di lunga durata. Puoi mitigare questo problema configurando il tuo server per utilizzare le cifre immuni a BEST e preferire quelle cifre.

Su nginx la configurazione ha il seguente aspetto:

ssl_ciphers RC4:HIGH:!aNULL:!MD5:!ADH:!kEDH;

ssl_prefer_server_ciphers on;

Questo userà RC4 con i client che lo supportano e ricadrà su AES.

score 5 · Answer 2

Puoi vedere lo stesso effetto su link

Hanno un certificato EV firmato da loro stessi. Firefox si fida di esso:

maChromeno.

Chrome funziona perfettamente con Verisign:

IlproblemaquièprobabilecheiltuobrowsernonsifidideltuofornitoredicertificatiSSL.Èpossibilechetuabbiaincasinatolaconfigurazionedaqualcheparte(icertificatidicatenapossonoesserefastidiosi)masaràdifficilepernoicapirlosenzachetupubblichiquiunURL.

Provaafareclicsullucchetto,quindisullaschedaConnessioneepoisuInformazionisulcertificato(comehofattonellasecondaschermata).SperiamocheloschermotidicacosapensadiChromedeltuocertificato.

IbrowserfannosicomportanodiversamenteperquantoriguardamoltiaspettidiSSL/TLSespecialmentequandositrattadicertificatiEV. Ecco un esempio di come gestiscono la revoca in modo diverso .

score 3 · Answer 3

Poiché la risposta con il punteggio più alto corrente non è una risposta effettiva, fornirò una: Chrome richiede la trasparenza del certificato su EV , Firefox e Edge e Safari no.

Ecco un esempio di scansione SSL Labs di un certificato mancante CT: viene visualizzato come EV in Firefox, Safari e Edge e come certificato DV a bassa affidabilità in Chrome:

Puoi (e dovresti) risolvere il problema parlando al tuo fornitore di certificati, chiedendo a di includere un Timestamp del certificato firmato (SCT) nei loro certificati utilizzando il campo x509v3 pertinente .