无效的自签名SSL证书-"主题替代名称丢失"

Question

最近，Chrome已经停止使用我自己签名的SSL证书，并认为它们不安全。当我查看DevTools|Security选项卡中的证书时，我可以看到它说

主题备选名称缺少此站点的证书不包含包含域名或IP地址的主题备选名称扩展名。

证书错误站点的证书链存在问题（net:：ERR\u CERT\u COMMON\u NAME\u无效）。

我怎样才能解决这个问题？

Answer 1

正如其他人所提到的，由于生成的证书不包括SAN（subjectAltName）字段，因此出现了NET:：ERR\u CERT\u COMMON\u NAME\u INVALID错误。

自2000年5月以来，RFC2818已不建议回到通用名称字段。自版本58以来，Chrome强制使用subjectAltName字段（请参阅Chrome58弃用）。

OpenSSL接受x509v3配置文件，以向证书添加扩展配置（有关配置选项，请参阅subjectAltName字段）。

我创建了一个带有简单选项的自签名tls bash脚本，以便轻松生成证书颁发机构并使用OpenSSL签名x509证书（在Chrome使用subjectAltName字段有效）。

脚本将引导您完成一系列问题，包括必要的信息（包括subjectAltName字段）。你可以参考自述。md了解更多详细信息和自动化选项。

请务必在安装新证书后重新启动chrome。

chrome://restart

• Docker文档提供了一个非常简单的示例，用于创建自签名证书颁发机构和使用OpenSSL对证书进行签名

Answer 2

以下解决方案在chrome 65上对我有效（参考）-

创建OpenSSL配置文件（示例：req.cnf）

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
C = US
ST = VA
L = SomeCity
O = MyCompany
OU = MyDivision
CN = www.company.com
[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = www.company.com
DNS.2 = company.com
DNS.3 = company.net

创建引用此配置文件的证书

openssl req -x509 -nodes -days 730 -newkey rsa:2048 \
 -keyout cert.key -out cert.pem -config req.cnf -sha256

Answer 3

要解决这个问题，基本上需要在创建证书时向openssl提供一个额外的参数

-sha256-extfile v3。分机

其中v3。ext是一个类似这样的文件，%%DOMAIN%%替换为与通用名相同的名称。更多信息在这里和这里。请注意，通常您会将公共名称和%%DOMAIN%%设置为您试图为其生成证书的域。如果是www.mysupersite。com，那么您可以同时使用它。

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = %%DOMAIN%%

另一个注意事项：如果您要做的只是阻止chrome在查看自签名证书时抛出错误，那么您可以告诉chrome忽略所有站点的所有SSL错误，方法是使用一个特殊的命令行选项启动它，如SuperUser中所述