Chrome afișează ERR_CERT_COMMON_NAME_INVALID când Firefox este fericit

Învățând cum să lucrați cu certificate, poate că va avea un server CA local. Am un server cu BMC, așa că l-am folosit pentru exersare. Perechea CA generată apoi perechea gazdă și apoi CSR gazdă semnat cu perechea CA pentru a obține crt gazdă. Am încărcat CA crt în depozitul de chei de încredere Chrome și perechea de gazdă în BMC. Acum, când merg la server, pot vedea că BMC returnează crt corect, dar Chrome arată că conexiunea nu este sigură. Motivul este ERR_CERT_COMMON_NAME_INVALID. Cu toate acestea, când fac clic pe „Certificatul nu este valid”, pot vedea ambele chei și certificatul semnat este afișat ca „Acest certificat este OK.”. Nume DNS folosit în url = nume COMMON. În același timp, pentru Firefox nicio problemă, este bine cu certificatele mele. Ce poate fi în neregulă?

Folosit această secvență: #CA PRIVAT

openssl genrsa -out CAKEY.pem 2048

#CERTIFICAT CA (utilizat în browser). Nume comun: ca.mydomain.com

openssl req -x509 -sha256 -new -nodes -key CAKEY.pem -days 3650 -out CACERT.pem -addext "subjectAltName = DNS:ca.mydomain.com"

#HOST KEY (încărcat în BMC), trebuie să dezactivez aici protecția prin parolă, BMC nu-i place parola

openssl genrsa -out HOSTKEY.pem 2048

#HOST CSR. Nume comun: host1.mydomain.com

openssl req -new -key HOSTKEY.pem -out HOSTCSR.pem -addext „subjectAltName = DNS:host1.mydomain.com”

#SIGN (încărcat în BMC)

openssl x509 -req -CA CACERT.pem -CAkey CAKEY.pem -in HOSTCSR.pem -out HOSTCRT.PEM -zile 3650 -CAcreateserial

OpenSSL-uri x509 comanda nu copiază extensia din fișierul CSR în certificatul semnat în versiunea 1.1.1 și anterioare.

Pe ultima versiune acolo este -copy_extensions <arg> opțiune, unde ` poate fi nici unul, copie sau copyall.

Primiți mesajul în Chrome, deoarece certificatul dvs. nu a copiat extensia Subject Alternative Name (SAN), așa că se plânge. Cred că Firefox păstrează utilizarea CommonName al subiectului dacă nu există extensie Subject Alternative Name, motiv pentru care nu se plânge.

Puteți rezolva acest lucru arătând x509 comanda într-un alt fișier de configurare cu -extfile <fișier> si -extensii <sectiune> Opțiuni. Fișierul <file> trebuie doar să aibă o secțiune numită cu extensiile pe care doriți să le adăugați la certificat:

[ my_ext ]
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid:always
keyUsage = critic, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subiectAltName = @alt_names
[alt_names]
DNS.1 = host1.mydomain.com