我已经为本地主机 CN 创建了一个自签名 SSL 证书。如预期的那样,Firefox 在最初抱怨它之后接受了该证书。但是,即使将证书添加到 “受信任的根” 下的系统证书存储中,Chrome 和 IE 也拒绝接受它。即使我在 Chrome 的 HTTPS 弹出窗口中单击 “查看证书信息” 时列出的证书已正确安装,它仍然坚持认为证书不可信任。
我应该怎么做才能让 Chrome 接受证书并停止抱怨呢?
仅适用于localhost
:
只需将其粘贴到您的 Chrome 中:
chrome://flags/#allow-insecure-localhost
您应该看到突出显示的文字:允许从本地主机加载的资源使用无效证书
点击Enable
。
这为我工作:
Chrome Settings > Show advanced settings > HTTPS/SSL > Manage Certificates
。 Authorities
选项卡,然后向下滚动以在您授予证书的组织名称下找到您的证书。 您现在应该在页面上看到漂亮的绿色锁。
编辑:我在新计算机上再次尝试了此操作,仅通过从红色不受信任的证书页面继续进行操作,证书就没有出现在 “管理证书” 窗口中。我必须执行以下操作:
https://
标记为红色),单击锁 > 证书信息。 注意:在较新版本的 chrome 上,您必须打开Developer Tools > Security
,然后选择View certificate
。 Details tab > Export
。选择PKCS #7, single certificate
作为文件格式。 Authorities tab > Import
然后选择将证书导出到的文件,并确保选择 PKCS #7, single certificate
作为文件类型 。 CHROME 58 + 的更新(已发布 2017-04-19)
从 Chrome 58 开始, 删除了仅使用commonName
标识主机的功能。证书现在必须使用subjectAltName
来标识其主机。 在此处查看更多讨论,并在此处查看错误跟踪器 。过去, subjectAltName
仅用于多主机证书,因此某些内部 CA 工具不包含它们。
如果您的自签名证书过去运行良好,但突然开始在 Chrome 58 中生成错误,这就是原因。
因此,无论您使用哪种方法生成自签名证书(或由自签名 CA 签名的证书), subjectAltName
确保服务器的证书包含带有正确DNS
和 / 或IP
条目 / 条目的subjectAltName
, 即使仅用于一个主机 。
对于 openssl,这意味着您的 OpenSSL 配置 (在 Ubuntu 上为/etc/ssl/openssl.cnf
)对于单个主机应该具有类似于以下内容:
[v3_ca] # and/or [v3_req], if you are generating a CSR
subjectAltName = DNS:example.com
或多个主机:
[v3_ca] # and/or [v3_req], if you are generating a CSR
subjectAltName = DNS:example.com, DNS:host1.example.com, DNS:*.host2.example.com, IP:10.1.2.3
在 Chrome 的证书查看器(已移至 F12 下的 “安全” 标签)中,您应该看到它在 “ Extensions
为 “ Certificate Subject Alternative Name
:
在 Mac 上,您可以使用 “钥匙串访问” 实用程序将自签名证书添加到 “系统” 钥匙串中,然后 Chrome 会接受它。我在这里找到了分步说明:
Google Chrome,Mac OS X 和自签名 SSL 证书
基本上:
单击页面上的任意位置,然后键入 BYPASS_SEQUENCE
“ thisisunsafe
” 是适用于 Chrome 65 版的 BYPASS_SEQUENCE
“ badidea
” Chrome 版本badidea
。
在过去的 Chrome 版本中使用 “ danger
”
您无需查找输入字段,只需键入它即可。感觉很奇怪,但是正在工作。
我在 Mac High Sierra 上尝试过。
要再次检查他们是否再次更改,请转到最新的铬源代码
要查找 BYPASS_SEQUENCE,目前看起来像这样:
var BYPASS_SEQUENCE = window.atob('dGhpc2lzdW5zYWZl');
现在,它们已经被伪装了,但是要查看真正的 BYPASS_SEQUENCE,您可以在浏览器控制台中运行以下代码。
console.log(window.atob('dGhpc2lzdW5zYWZl'));
如果您使用的是 Linux,则还可以遵循以下官方 Wiki 页面:
基本上:
现在,以下命令将添加证书(其中 YOUR_FILE 是您的导出文件):
certutil -d sql:$HOME/.pki/nssdb -A -t "P,," -n YOUR_FILE -i YOUR_FILE
要列出所有证书,请运行以下命令:
certutil -d sql:$HOME/.pki/nssdb -L
如果仍然无法正常工作,则可能会受到以下错误的影响: 问题 55050:Ubuntu SSL 错误 8179
注意:在使用上述命令之前,请确保您具有libnss3-tools
。
如果没有,请通过以下方式安装:
sudo apt-get install libnss3-tools # on Ubuntu
sudo yum install nss-tools # on Fedora, Red Hat, etc.
另外,您可以使用以下方便的脚本:
$ cat add_cert.sh
certutil -d sql:$HOME/.pki/nssdb -A -t "P,," -n $1 -i $1
$ cat list_cert.sh
certutil -d sql:$HOME/.pki/nssdb -L # add '-h all' to see all built-in certs
$ cat download_cert.sh
echo QUIT | openssl s_client -connect $1:443 | sed -ne '/BEGIN CERT/,/END CERT/p'
用法:
add_cert.sh [FILE]
list_cert.sh
download_cert.sh [DOMAIN]
使用--auto-ssl-client-auth
参数运行 Chrome
google-chrome --auto-ssl-client-auth
更新 11/2017:此答案可能不适用于大多数较新版本的 Chrome。
更新 02/2016:可在此处找到针对 Mac 用户的更好说明。
在要添加的站点上,右键单击地址栏中的红色锁定图标:
单击标签为 “ 连接”的选项卡,然后单击 “ 证书信息”
单击详细信息选项卡,然后单击复制到文件...按钮。这将打开 “证书导出向导”,单击 “ 下一步”进入 “ 导出文件格式”屏幕。
选择DER 编码的二进制 X.509(.CER) ,单击 “ 下一步”。
单击浏览...,然后将文件保存到计算机。用描述性的名称命名。单击下一步 ,然后单击完成 。
打开 Chrome 设置,滚动到底部,然后单击显示高级设置...。
在HTTPS / SSL 下 ,单击管理证书...。
单击 “ 受信任的根证书颁发机构”选项卡,然后单击 “ 导入...”按钮。这将打开 “证书导入向导”。单击 “ 下一步”进入 “ 要导入的文件”屏幕。
单击浏览...,然后选择您之前保存的证书文件,然后单击下一步 。
选择将所有证书放入以下存储中 。所选存储应为 “ 受信任的根证书颁发机构” 。如果不是,请单击浏览...,然后选择它。单击下一步并完成
在安全警告上单击 “ 是 ”。
重新启动 Chrome。
在 Mac 上,您可以通过执行以下操作来创建 Chrome 和 Safari 在系统级别上完全信任的证书:
# create a root authority cert
./create_root_cert_and_key.sh
# create a wildcard cert for mysite.com
./create_certificate_for_domain.sh mysite.com
# or create a cert for www.mysite.com, no wildcards
./create_certificate_for_domain.sh www.mysite.com www.mysite.com
v3.ext
,以避免主题备用名称丢失错误 如果要创建一个新的自签名证书,该证书将使用您自己的根权限进行完全信任,则可以使用以下脚本来进行此操作。
#!/usr/bin/env bash
openssl genrsa -out rootCA.key 2048
openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem
#!/usr/bin/env bash
if [ -z "$1" ]
then
echo "Please supply a subdomain to create a certificate for";
echo "e.g. www.mysite.com"
exit;
fi
if [ ! -f rootCA.pem ]; then
echo 'Please run "create_root_cert_and_key.sh" first, and try again!'
exit;
fi
if [ ! -f v3.ext ]; then
echo 'Please download the "v3.ext" file and try again!'
exit;
fi
# Create a new private key if one doesnt exist, or use the xeisting one if it does
if [ -f device.key ]; then
KEY_OPT="-key"
else
KEY_OPT="-keyout"
fi
DOMAIN=$1
COMMON_NAME=${2:-*.$1}
SUBJECT="/C=CA/ST=None/L=NB/O=None/CN=$COMMON_NAME"
NUM_OF_DAYS=825
openssl req -new -newkey rsa:2048 -sha256 -nodes $KEY_OPT device.key -subj "$SUBJECT" -out device.csr
cat v3.ext | sed s/%%DOMAIN%%/"$COMMON_NAME"/g > /tmp/__v3.ext
openssl x509 -req -in device.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out device.crt -days $NUM_OF_DAYS -sha256 -extfile /tmp/__v3.ext
# move output files to final filenames
mv device.csr "$DOMAIN.csr"
cp device.crt "$DOMAIN.crt"
# remove temp file
rm -f device.crt;
echo
echo "###########################################################################"
echo Done!
echo "###########################################################################"
echo "To use these files on your server, simply copy both $DOMAIN.csr and"
echo "device.key to your webserver, and use like so (if Apache, for example)"
echo
echo " SSLCertificateFile /path_to_your_files/$DOMAIN.crt"
echo " SSLCertificateKeyFile /path_to_your_files/device.key"
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names
[alt_names]
DNS.1 = %%DOMAIN%%
要使自签名证书在 Chrome 和 Safari 中受到完全信任,您需要将新的证书颁发机构导入 Mac。为此,请遵循以下说明,或在 mitmproxy 网站上对该一般过程进行更详细的说明:
您可以使用以下命令在命令行中通过以下两种方式之一进行操作,该命令将提示您输入密码:
$ sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain rootCA.pem
或使用 “ Keychain Access
应用程序:
另外,如果需要 Java 客户端信任证书,则可以通过将证书导入到 Java 密钥库中来实现。请注意,如果证书已经存在,它将从密钥库中删除该证书,因为它需要在发生更改时进行更新。当然,仅对要导入的证书执行此操作。
KEYSTORE="$(/usr/libexec/java_home)/jre/lib/security/cacerts";
function running_as_root()
{
if [ "$EUID" -ne 0 ]
then echo "NO"
exit
fi
echo "YES"
}
function import_certs_to_java_keystore
{
for crt in *.crt; do
echo prepping $crt
keytool -delete -storepass changeit -alias alias__${crt} -keystore $KEYSTORE;
keytool -import -file $crt -storepass changeit -noprompt --alias alias__${crt} -keystore $KEYSTORE
echo
done
}
if [ "$(running_as_root)" == "YES" ]
then
import_certs_to_java_keystore
else
echo "This script needs to be run as root!"
fi
如果您使用的是 Mac,并且看不到 “导出” 标签或如何获取证书,那么这对我有用:
点击 “证书信息”
现在您应该看到:
将该小证书图标拖到桌面上(或任何位置)。
双击已下载的. cer 文件,这会将其导入您的钥匙串中,然后打开 “钥匙串访问” 以访问您的证书列表。
在某些情况下,这就足够了,您现在可以刷新页面。
除此以外:
现在重新加载有问题的页面,应该可以解决了!希望这可以帮助。
为了使此操作更容易一些,您可以使用以下脚本( source ):
将以下脚本另存为whitelist_ssl_certificate.ssh
:
#!/usr/bin/env bash -e
SERVERNAME=$(echo "$1" | sed -E -e 's/https?:\/\///' -e 's/\/.*//')
echo "$SERVERNAME"
if [[ "$SERVERNAME" =~ .*\..* ]]; then
echo "Adding certificate for $SERVERNAME"
echo -n | openssl s_client -connect $SERVERNAME:443 | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' | tee /tmp/$SERVERNAME.cert
sudo security add-trusted-cert -d -r trustRoot -k "/Library/Keychains/System.keychain" /tmp/$SERVERNAME.cert
else
echo "Usage: $0 www.site.name"
echo "http:// and such will be stripped automatically"
fi
使脚本可执行(从 shell):
chmod +x whitelist_ssl_certificate.ssh
为您想要的域运行脚本(只需复制 / 粘贴完整的 URL 即可):
./whitelist_ssl_certificate.ssh https://your_website/whatever
于 2018 年 4 月 3 日更新
尽管存在安全错误,但可以在错误页面中键入一个秘密的旁路短语以使 Chrome 继续运行: thisisunsafe (在 Chrome 的早期版本中,键入badidea ,甚至在更早版本中, 危险 )。 除非您确实需要它,否则请不要使用它!
资源:
https://chromium.googlesource.com/chromium/src/+/d8fc089b62cd4f8d907acff6fb3f5ff58f168697%5E%21/
(请注意window.atob('dGhpc2lzdW5zYWZl')
解析为thisisunsafe
)
该源的最新版本为 @ https://chromium.googlesource.com/chromium/src/+/refs/heads/master/components/security_interstitials/core/browser/resources/interstitial_large.js ,并且window.atob
函数可以在 JS 控制台中执行。
有关 Chrome 小组首次更改旁路词组的原因的背景信息:
https://bugs.chromium.org/p/chromium/issues/detail?id=581189
如果 “无论如何继续” 选项不可用,或者旁路词组不起作用,那么一次过就可以使用此技巧:
通过启用此标志来允许来自localhost
的证书错误(注意,Chrome 需要在更改标志值后重新启动):
chrome://flags/#allow-insecure-localhost
(以及 @Chris 的投票答案https://stackoverflow.com/a/31900210/430128 )
如果您要连接的站点是localhost
,则操作完成。否则,请设置一个 TCP 隧道以本地监听 8090 端口,并连接到端口 443 上的broken-remote-site.com
,确保已安装socat
并在终端窗口中运行以下操作:
socat tcp-listen:8090,reuseaddr,fork tcp:broken-remote-site.com:443
在浏览器中转到https:// localhost:8090 。
类似于 “如果其他所有方法都失败(解决方案 1)”,在这里我们使用ngrok配置到本地服务的代理。因为您可以通过 TLS(在这种情况下,它由具有有效证书的 ngrok 终止)或通过非 TLS 端点访问 ngrok http 隧道,所以浏览器将不会抱怨证书无效。
下载并安装 ngrok,然后通过ngrok.io
公开它:
ngrok http https://localhost
ngrok 将启动并为您提供一个可以连接的主机名,所有请求都将通过隧道传送回本地计算机。