Web-palvelimellamme on tietoliikennettä suojaamassa itseallekirjoitettu (self-signed) varmenne. Taannoin varmenteen vanhenemispäivä meni umpeen, ja olen nyt yrittänyt luoda uuden varmenteen, jottei käyttäjille tulisi herjoja vanhentuneesta varmenteesta.
Netistä löytyy hyviä ohjeita self-signed varmenteen tekemiseksi OpenSSL:llä. Olen noudattanut niitä. Kuitenkaan tekemäni varmenne ei toimi! Firefox antaa herjan, ettei suojattua yhteyttä voi avata koska allekirjoitus on virheellinen. IE antaa vain ilmoituksen "Sivua ei voi näyttää".
Vanha CA-sertifikaattimme on tuhoutunut, ja siksi olen luonut uuden. Sekä CA-sertifikaatissa että itse salausvarmenteessa Common Name -kentässä on serverimme DNS-osoite (CA-sertifikaatissa ei tietysti tarvitsisi olla). Kaikki muutkin OpenSSL:n kysymät tiedot on asetettu samoiksi CA-sertifikaatissa ja itse salausvarmenteessa.
Mistä ihmeestä ongelma oikein voi johtua???
Mikä varmenteessa mättää?
6
1264
Vastaukset
- superadmin
Et kertonut www palvelimen tyyppiä. ISS/Apache :ssa asia on erilailla. Perusperiaate on kuitenkin, ettei omavarmeteella ole hirveesti virkaa, herja tulee kuitenkin (muuten toimii).
Yksi syy voi olla, että olet unohtanut poistaa salauksen tuosta avaimesta, jolloin ssl ei toimi ellet toimita startissa salasanaa.
Oletko katsonut ohjetta:
http://www.modssl.org/docs/2.8/ssl_faq.html#ToC29- Harmenne
Kyseessä on Apache2-serveri Ubuntu Linux -alustalla.
Omavarmenteesta tosiaan tulee aina herja, mutta tämä virheellisestä allekirjoituksesta kertova herja on sikäli pahempi, että se estää sivulle pääsyn kokonaan. Normaalistihan pitäisi tulla vain herja ei-luotetusta varmentajasta, jonka pystyy ohittamaan.
Mielestäni perustin avaimet juuri viittaamasi ohjeen mukaisesti, ja salauskin on poistettu avaimesta. Tämä tuntuu täysin henkimaailman jutulta! - superadmin
Harmenne kirjoitti:
Kyseessä on Apache2-serveri Ubuntu Linux -alustalla.
Omavarmenteesta tosiaan tulee aina herja, mutta tämä virheellisestä allekirjoituksesta kertova herja on sikäli pahempi, että se estää sivulle pääsyn kokonaan. Normaalistihan pitäisi tulla vain herja ei-luotetusta varmentajasta, jonka pystyy ohittamaan.
Mielestäni perustin avaimet juuri viittaamasi ohjeen mukaisesti, ja salauskin on poistettu avaimesta. Tämä tuntuu täysin henkimaailman jutulta!Ainakaan tuolla CA :lla ei pitäs olla juur mitään merkitystä mitä siellä on ja itseasiassa ei välttämättä tarvii ollenkaan.. Tuollahan varmistetaan clientin allekirjoituksen oikeellisuus. Eli, anna sen ca-bundlen olla siellä.
mutta voit koettaa ottaa yhteyttää palvelimeesi suoraan openssl clientilla, jonka kautta saat peremmin debug tietoa.
openssl s_client -connect host:port jne. - superadmin
superadmin kirjoitti:
Ainakaan tuolla CA :lla ei pitäs olla juur mitään merkitystä mitä siellä on ja itseasiassa ei välttämättä tarvii ollenkaan.. Tuollahan varmistetaan clientin allekirjoituksen oikeellisuus. Eli, anna sen ca-bundlen olla siellä.
mutta voit koettaa ottaa yhteyttää palvelimeesi suoraan openssl clientilla, jonka kautta saat peremmin debug tietoa.
openssl s_client -connect host:port jne.Eli, omavarmenne on käytännössä "dummy"..
ja IE:ssä on ilmeisesti ongelamna se, että sun pitää ko. varmenne asentaa siihen (alla).
How can I create a dummy SSL server Certificate for testing purposes? [L]
A Certificate does not have to be signed by a public CA. You can use your private key to sign the Certificate which contains your public key. You can install this Certificate into your server, and people using Netscape Navigator (not MSIE) will be able to connect after clicking OK to a warning dialogue. You can get MSIE to work, and your customers can eliminate the dialogue, by installing that Certificate manually into their browsers.
Just use the ``make certificate'' command at the top-level directory of the Apache source tree right before installing Apache via ``make install''. This creates a self-signed SSL Certificate which expires after 30 days and isn't encrypted (which means you don't need to enter a pass-phrase at Apache startup time).
BUT REMEMBER: YOU REALLY HAVE TO CREATE A REAL CERTIFICATE FOR THE LONG RUN! HOW THIS IS DONE IS DESCRIBED IN THE NEXT ANSWER. - Harmenne
superadmin kirjoitti:
Eli, omavarmenne on käytännössä "dummy"..
ja IE:ssä on ilmeisesti ongelamna se, että sun pitää ko. varmenne asentaa siihen (alla).
How can I create a dummy SSL server Certificate for testing purposes? [L]
A Certificate does not have to be signed by a public CA. You can use your private key to sign the Certificate which contains your public key. You can install this Certificate into your server, and people using Netscape Navigator (not MSIE) will be able to connect after clicking OK to a warning dialogue. You can get MSIE to work, and your customers can eliminate the dialogue, by installing that Certificate manually into their browsers.
Just use the ``make certificate'' command at the top-level directory of the Apache source tree right before installing Apache via ``make install''. This creates a self-signed SSL Certificate which expires after 30 days and isn't encrypted (which means you don't need to enter a pass-phrase at Apache startup time).
BUT REMEMBER: YOU REALLY HAVE TO CREATE A REAL CERTIFICATE FOR THE LONG RUN! HOW THIS IS DONE IS DESCRIBED IN THE NEXT ANSWER.Varmenne tosiaan pitää asentaa sekä IE:hen että Firefoxiin, mutta se ei ole ylipääsemätön ongelma. Ongelmana on, että laatimallani varmenteella Firefox ei avaa sivua lainkaan, eli sen antamaa herjaa ei voi ohittaa. IE puolestaan ei anna sen kummempaa virheilmoitusta kuin "Sivua ei voi näyttää", eikä avaa sivua.
Tuo ohje saattaisi olla muuten käyttökelpoinen, mutta minulla ei ole Apachen lähdekoodeja koska olen asentanut sen valmiista binääreistä Ubuntun pakettirepositorystä :( - superadmin
Harmenne kirjoitti:
Varmenne tosiaan pitää asentaa sekä IE:hen että Firefoxiin, mutta se ei ole ylipääsemätön ongelma. Ongelmana on, että laatimallani varmenteella Firefox ei avaa sivua lainkaan, eli sen antamaa herjaa ei voi ohittaa. IE puolestaan ei anna sen kummempaa virheilmoitusta kuin "Sivua ei voi näyttää", eikä avaa sivua.
Tuo ohje saattaisi olla muuten käyttökelpoinen, mutta minulla ei ole Apachen lähdekoodeja koska olen asentanut sen valmiista binääreistä Ubuntun pakettirepositorystä :(Et tarvii sorsia tuon dummyn tekemiseen.. vaan menee ihan reconfigure apache (pitäs mennä), jollei tuo tuota scriptia näy missään appache hakemistossa.
Mutta tuolla ei väliä, koska vastaa oikeesti oma varmennetta. Tuo dummy varmenne on "Snake Oil" firman varmenne (eli huuhaata).
Eli, koetat vaan väsätä tuota omavarmennetta, jollet saa tehtyä oletusvarmennetta (dummy).
jotakin sulla tietty pielessä siellä konfiksessa jos et saa oma-varmennetta pelaamaan. Jos /usr/sbin/apachectl startssl (ei futaa, niin konfigurointivika). Apache ssl logista selvinnee syy.
Ketjusta on poistettu 0 sääntöjenvastaista viestiä.
Luetuimmat keskustelut
Ja taas ammuttu kokkolassa
Kokkolaisilta pitäisi kerätä pois kaikki ampumaset, keittiöveitset ja kaikki mikä vähänkään paukku ja on terävä.575459- 914281
Helena Koivu on äiti
Mitä hyötyä on Mikko Koivulla kohdella LASTENSA äitiä huonosti . Vie lapset tutuista ympyröistä pois . Lasten kodista.3722540Ovatko naiset lopettaneet sen vähäisenkin vaivannäön Tinderissa?
Meinaan vaan profiileja selatessa nykyään valtaosalla ei ole minkäänlaista kirjoitettua tekstiä siellä. Juuri ja juuri s701065Suomi vietiin Natoon väärin perustein. Viides artikla on hölynpölyä. Yksin jäämme.
Kuka vielä uskoo, että viides artikla takaa Suomelle avun, jos Suomeen hyökätään. Liikuttavasti täällä on uskottu ja ved3301028- 61833
Sydämeni on sinun luona
Koko ajan. Oli ympärilläni ketä oli niin sinä olet vain ajatuksissa ja tunteissa. En halua muiden kosketusta kuin sinun46806- 28793
Trump ja Venäjä
Huomasitteko muuten... Käytännössä ainoat valtiot, joille Trump EI eilen asettanut typeriä tariffejaan, olivat Venäjä ja102789Jatkuva stressitila
On sinun vuoksesi kun en tiedä missä mennään mutta tunteeni tiedän ainoastaan52769