Perché questo certificato non è sicuro?

Question

Perché questo certificato non è sicuro?

#1 da (3 voti)
#2 da (1 voti)

0

Dopo la precedente domanda , ho ancora un problema con i certificati SSL e il mio browser Firefox crede che la connessione sia non sicuro.

Creazione del certificato

Ho creato un certificato con

Tutte le password: arnsihtVrrlprephcikrdta23p14351

$ openssl genrsa -des3 -out server.key 1024
Generating RSA private key, 1024 bit long modulus
.......++++++
........................++++++
e is 65537 (0x10001)
Enter pass phrase for server.key:
Verifying - Enter pass phrase for server.key:


$ openssl req -new -key server.key -out server.csr
Enter pass phrase for server.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:AU
State or Province Name (full name) [Some-State]:VIC
Locality Name (eg, city) []:Melbourne
Organization Name (eg, company) [Internet Widgits Pty Ltd]:myOrg
Organizational Unit Name (eg, section) []:mySection
Common Name (e.g. server FQDN or YOUR name) []:localhost:8080
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:challengeme28392r
An optional company name []:


$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
Signature ok
subject=/C=AU/ST=VIC/L=Melbourne/O=myOrg/OU=mySection/CN=localhost:8080
Getting Private key
Enter pass phrase for server.key:
$

E poi, ho creato un PKCS # 12 per importarlo da firefox:

Esporta password: aorsta226krstafSRsurerf234

$ openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12
Enter pass phrase for server.key:
Enter Export Password:
Verifying - Enter Export Password:

Il file di output:

server.key

server.crt

server.p12

3082 0649 0201 0330 8206 0f06 092a 8648
86f7 0d01 0701 a082 0600 0482 05fc 3082
05f8 3082 02f7 0609 2a86 4886 f70d 0107
06a0 8202 e830 8202 e402 0100 3082 02dd
0609 2a86 4886 f70d 0107 0130 1c06 0a2a
8648 86f7 0d01 0c01 0630 0e04 086e 3b7f
e774 616b 6702 0208 0080 8202 b0e1 1a84
261e 2e2b 1ab0 6c7f f43f d572 d794 0517
7a95 1e6d b07d ee01 e042 b45d b876 9591
35cb 1d57 fb78 4a4a f8f8 c6f8 5aa4 a82c
0fba c5f2 8609 426a 709f aeeb 0808 e3e7
a4a8 565c 96b0 91f6 e4d3 0c23 3524 71ae
352f cfe8 fb9d b95f 11a1 131a 404e 5c5b
bd0b 13f9 7b4a 235e ae94 d4f4 53d4 5034
f6a0 a730 2020 f222 ab08 b5c7 f8d3 15a8
cad0 0943 50b5 d84f c9b2 ad45 b31b 234c
85c9 152c 5856 f8a7 f203 3e9f 6311 e537
1149 676c 5448 a4d5 3ca7 305b afd4 fa43
1ee4 4b49 339f 405b c494 1e0e 02ff c28f
2ad7 284e 99f9 f051 f809 f4f7 6a7c fa40
6fef ebe4 8f92 f860 9b90 3a01 3ffa 9bd5
772a 3ef6 c3b3 d7f4 0970 0591 6664 e30b
3a25 76ad cdf7 41f5 9d21 8a44 5a68 4d0f
2fe4 7285 fde8 0034 42e8 52b9 1a02 0640
ab8e 6385 d9f8 b937 b592 48ba c443 9040
6fb1 86ab b850 2ac3 dfce 6665 4f13 8e22
17c2 fbc5 bdaf 72fc 522c 9d16 999b ae76
3290 e778 6459 1c13 f846 55dc 3539 113e
effd e79a e07f 9318 821f 5cc8 4e95 cd4f
e9f9 4dd1 e786 e8d0 2c72 8226 bb8e b5d8
ffd9 5f13 47cc db6d 4c3b efe0 4bc5 3eb6
22fe 3019 94d2 7460 e6df f084 a2ef 87ae
9062 4622 bf72 928d e80d e56b 5f7e 54ed
6760 8de6 2448 28cb 69f4 1764 b1b8 b846
10e7 1e64 e1fc f1d7 ae47 024c 9c7d 0a89
ddb8 62c4 6dc5 2597 eea9 b8a9 3efa bc70
b325 b39d df51 dcb9 357d 6ff9 3286 961d
37c8 b6cd e6de da50 f6a0 49f9 81f6 2ed5
893e 4771 610a 6ca7 54ac 5d1f 46a0 2a9b
a4f5 86c2 3e59 79a0 c4c0 eef6 00de 77de
fb89 95f3 2551 bf10 2cb4 6a49 f0ce ab55
d4b4 18a8 03c2 96bd 1c0b 0c7d e78f 033e
951e 6e00 c43b bd7f f1c1 5dfb d460 582c
459d e0a0 a5b5 8342 826d 70fc 8526 214a
4cb0 923f 0a53 1cd0 f279 170d b6be 35d5
da13 5d86 02fc a154 f0a7 7c40 64ee 8f9d
41be cf1d fb76 df63 d80a 066c a833 04c2
9211 c2de a949 a26a d45c 35c5 4a35 21a0
cba3 7a3b 4d1e ebe9 b2f4 2223 3d89 1606
d7c4 8339 fee8 7cde c4ad 95c2 8130 8202
f906 092a 8648 86f7 0d01 0701 a082 02ea
0482 02e6 3082 02e2 3082 02de 060b 2a86
4886 f70d 010c 0a01 02a0 8202 a630 8202
a230 1c06 0a2a 8648 86f7 0d01 0c01 0330
0e04 083f 34ee e00b b9ed fd02 0208 0004
8202 80a3 5544 cccf 2bfd c353 fc40 afe5
ecf4 1ee6 8d29 25a7 2761 c2c1 5caf ce63
32aa 1c9d cfeb 86a8 84fc 2639 a5c8 33e3
7f3c d51c 9e54 10bf 7d22 450d a49d ac3e
c3eb ee3e ec21 07b3 7444 2430 339f 919a
fb76 134f ea3d f610 9269 19c2 70a4 2f4d
3263 29b0 5293 8544 956a 30c0 3e1c 72f6
a033 9658 c831 1d58 71a8 f9fa 71e4 0f3e
8d29 6436 5bc2 177c ddba c619 cf1f 4968
b5a9 40bb 15f3 f856 1c44 dadf 1905 88d1
38e3 dba5 dc56 d0ae 3812 05c4 2233 a146
3477 d5c9 eec0 7ac2 bedd e230 4306 f2ea
59d6 e2c9 ecd8 b34f f31b 0ba4 0fa3 17f9
7930 cbdd 0aec 3ad4 c089 0f3b cc9c af47
18e6 8e2b dd1c d160 09c5 4b01 520e d662
23cb f6de 84a7 98c7 0613 3305 462f a96a
9a0e a38a d14b d58a f290 973c f4d8 c091
8440 3209 a18e dd1b 7afb 3ab3 8897 6663
f10c 0883 5771 bbe2 b814 0136 00a7 ecd6
9505 db41 d19b 4211 84cd cb9e dc0d f248
318e 911f 6b18 56f2 9092 602d 9989 0661
f5de 6686 9d9f feb9 4fe2 e960 88b5 722e
6cc6 af1b 7c56 6e1c de00 132a b464 65dc
1fee 23e3 06b9 a046 0026 08ba c513 4d6d
c9dd 7308 8cce 2287 b22c 5b00 88a2 36b1
f4b8 a839 30a4 50a5 7a05 9362 c841 c7fa
c184 e436 071d ffd1 d022 5016 b83b 6e17
4e05 20eb 43e0 9aac bc2d 8eb7 be20 1893
9f21 945e 061f 8966 128d 0b65 d83a d2e7
7708 143f 5cd9 0a47 dcfc 8084 a921 2f7f
a0e9 74d8 9f96 03ab b0e8 e5cf 60a0 7473
6103 04e6 ac54 1856 9537 0da3 0147 e992
5a98 6ff0 a53f 50ff 09d6 119c c633 dd18
3921 b6c4 253e b53e d85d 7883 c24a bffe
deb3 b072 dc0f c7e8 df05 dd90 8424 d4c9
e02f ccfa 5eca 80aa 8df5 b0b4 8a47 0926
c53b cde3 2d8c 11ad ddd1 f12c 6cd2 d36c
2621 93d3 8695 c7af 5f9c c003 fa06 3cf7
ca3b 2f38 b2df c08c 38fc 87a6 4d85 67fb
19ec 949f a41e a2c0 17a2 c97a 34fb c504
e222 ec31 2530 2306 092a 8648 86f7 0d01
0915 3116 0414 62b5 1783 2f3b bb33 d423
afc7 f2df 326c 5db9 959b 3031 3021 3009
0605 2b0e 0302 1a05 0004 14c1 5ae0 1116
ce4c 5303 b95b 31cd f433 4447 5839 d904
0837 b3b7 6dcb ef21 2a02 0208 00

Importa certificato in firefox

In firefox, ho importato server.p12 come your certificate che mi ha chiesto una password (Esporta password: aorsta226krstafSRsurerf234).

Il certificato è stato importato con successo.

server C ++

Ho compilato ed eseguito Simple-Web-Server ,

$ make

Mi chiede anche la password:

./https_examples
Enter PEM pass phrase:

che ho inserito (pass = arnsihtVrrlprephcikrdta23p14351).

Caricamento della pagina

Ho caricato:

link

E vedi il messaggio:

Your connection is not secure

e

The owner of localhost has configured their website improperly. To protect your information from being stolen, Firefox has not connected to this website

Quando aggiungo l'eccezione, posso caricare la pagina con un segno di avvertenza di sicurezza in cima.

Wireshark

Catturo la porta 8080 . I dati sembrano essere crittografati:

Cosa c'è che non va?

La mia domanda è cosa c'è che non va?

Qual è il prossimo passo da verificare?

firefox tls certificates

posta ar2015 02.07.2017 - 02:57

fonte

2 risposte

3

Ottenere un certificato da una CA "reale" (un trust predefinito di Firefox predefinito) è sicuramente l'approccio migliore, ma richiede l'uso (e l'uso) di un nome di dominio pubblico. Puoi fidarti di un certificato che ti sei autografato da Firefox, incluso il fatto che qui si firma con la propria chiave e il proprio nome (chiamato autofirmato).

Affinché Firefox possa fidarsi di un certificato che identifica un server , il certificato deve essere firmato (possibilmente tramite una catena) da un certificato nella scheda "Autorità" NON dalla scheda "I tuoi certificati", che è per certificati e chiavi che autenticano il browser (e l'utente del browser). Nel caso di un certificato autofirmato, il "CA cert" è in realtà il certificato stesso. Devi eliminare la voce in "I tuoi certificati" e importare solo il certificato (NON la p12) in "Autorità" con l'impostazione di attendibilità "in grado di identificare i siti web" .

Note aggiuntive:

Il consiglio di impostare solo il CommonName nel Subject per identificare un certificato del server SSL / TLS è scaduto da anni. L'estensione SubjectAlternativeName, solitamente abbreviata SAN e spesso indicata da altri nomi come multidominio e UCC, è stata introdotta oltre un decennio fa per consentire una maggiore flessibilità, e nella lenta marcia del progresso, Chrome solo pochi mesi fa ha iniziato requring SAN (e rifiuto di certificati che utilizzano solo CN); Ci si aspetta che Firefox segua l'esempio.

Sfortunatamente fare SAN con openssl x509 -req è un po 'scomodo; ci sono già numerose Q su diversi stack. L'alternativa più semplice è quella di sostituire l'approccio inutilmente complicato (che hai copiato per la tua precedente Q) con un singolo comando openssl per generare insieme la chiave AND cert:

     openssl req -newkey rsa:2048 -keyout server.key -x509 -days 365 -out server.crt 
     # and enter the Subject fields interactively, or add -subj with value per the man page
     # can adjust -days as desired, add -nodes if you want privatekey unencrypted 
     # if openssl version below 1.0.2 preferably add -sha256
     # although browsers _probably_ ignore this as the selfsignature 
     # is only needed to fit the standard format and not for security

ma prima modifica il tuo file di configurazione - o di solito meglio modificane una copia e specifica quella copia con -config filename - aggiungendo nella sezione x509_extensions una riga subjectAltName=DNS:yourdomainname . Se non sai dove si trova il tuo file di configurazione predefinito, controlla se envvar OPENSSL_CONF o OPENSSLDIR è impostato e se non guarda openssl version -d per openssl.conf .

Sia per CommonName sia per SAN, il nome dominio del server nel certificato NON deve includere: porta come hai nella tua Q. Sebbene: la porta a volte sia parte di un URL, non fa parte di un nome di dominio, o per quella di un indirizzo IP.

risposta data 02.07.2017 - 10:42

fonte

Leggi altre domande sui tag firefox tls certificates

Aperto (residenziale) meno sicuro di WiFi pubblico? Il fornitore di autenticazione ha accesso al sito? [duplicare]

score 1 · Accepted Answer

Il motivo per cui Firefox si lamenta è perché è un certificato autofirmato. I certificati autofirmati sono intrinsecamente insicuri in quanto non è possibile verificare che il server sia chi o cosa afferma, si veda questo domanda precedente per una spiegazione più lunga del perché. Ciò non significa che i dati non siano crittografati - lo è.

Inoltre, dovresti usare RSA a 2048 bit, non 1024. 1024 non è più considerato sicuro ("I nostri risultati ci ricordano ancora che i primi 1024 bit devono essere considerati non sicuri per la sicurezza dei criptosistemi in base alla durezza del discreto logaritmi ", consulta questo articolo ).