Self SSL - недействительный сертификат

Question

Я впервые использовал Self SSL для создания сертификата для нашего exchange-OMA/OWA. Я импортировал сертификат в доверенные корневые центры сертификации на моем локальном компьютере, чтобы он не запрашивал, что сертификат не из доверенного источника.

Однако я все еще получаю ошибку сертификата "Неверный сертификат", панель браузера IE8 становится красной с предупреждением безопасности. Когда я смотрю сертификат, он не отображает никаких ошибок и говорит, что сертификат в порядке.

Может кто-нибудь сказать мне, почему я получаю эту ошибку? это нормально для самозаверяющих сертификатов или сертификат действительно недействителен каким-то образом?

Спасибо

Answer 1

Убедитесь, что атрибут CN ("Common Name") совпадает в вашем URL и сертификате. Например, если вы создали свой сертификат с использованием CN=localhost, но вы обращаетесь к нему в IE, используя что-то вроде https://machine.domain.topleveldomain/, то IE будет жаловаться, что machine.domain.topleveldomain не совпадает с localhost, Я считаю, что это делает сравнение строк.

Убедитесь, что сертификат был установлен в доверенных корневых центрах сертификации (TRCA) в физическом хранилище локального компьютера.

Если все установлено правильно, то есть еще одна возможность. В Windows есть "функция", которая стирает ненадежные сертификаты (ненадежные в соответствии с mircosoft) от TRCA. Вы можете сначала отключить эту функцию, а затем переустановить сертификат.

Открыть gpedit.msc и сверлить до Computer Configuration > Administrative Templates > System > Internet Communication Management > Internet Communication Settings > Turn off Automatic Root Certificates Update, включить Turn off Automatic Root Certificates Update,

Microsoft предоставляет некоторые подробности о том, что делает эта функция - ее функция безопасности, где ваш TRCA сравнивается с базой данных действительных корневых сертификатов Microsoft.

Если после выключения этой функции она все еще не работает, значит, существует проблема с тем, как вы создали этот сертификат. Вы можете сделать сертификат, используя makecert, http://msdn.microsoft.com/en-us/library/bfsktky3(v=vs.80).aspx

Если полное имя вашего компьютера: machine.domain.com, вы можете сделать это:

makecert -n "CN=machine.domain.com" c:\file.cer

В конечном итоге вы можете получить доступ к своим ресурсам по адресу: https://machine.domain.com/

Надеюсь это поможет. У меня была справедливая доля самозаверяющих проблем с сертификатами.