Ist diese SSL-Zertifikatskette unterbrochen und wie kann sie behoben werden?

Für das SSL-Zertifikat auf der Domain example.com wurde in einigen Tests festgestellt, dass die Kette unvollständig ist. Da Firefox einen eigenen Zertifikatspeicher verwaltet, kann es unter Mozilla ( 1 , 2 , 3 ) zu Fehlern kommen . Andere sagen mir, dass es in Ordnung ist , ebenso wie Firefox 36, das mir sagt, dass die Zertifikatskette in Ordnung ist.

UPDATE: Ich habe es unter Opera, Safari, Chrome und IE sowohl unter Windows XP als auch unter MacOS X Snow Leopard getestet. Alle funktionieren einwandfrei. Es schlägt nur in Firefox <36 unter beiden Betriebssystemen fehl. Ich habe keinen Zugang zum Testen unter Linux, aber für diese Website ist es weniger als 1% der Besucher, und die meisten sind wahrscheinlich Bots. Auf diese Weise werden die ursprünglichen Fragen "Werden bei diesem Setup Warnungen in Mozilla Firefox angezeigt oder nicht" und "Ist diese SSL-Zertifikatskette unterbrochen oder nicht?" Beantwortet.

Daher stellt sich die Frage, wie ich herausfinde, welche Zertifikate ich in die Datei ssl.ca einfügen muss, damit sie von Apache bereitgestellt werden können, damit Firefox <36 nicht erstickt.

PS: Als Randnotiz war der Firefox 36, mit dem ich das Zertifikat getestet habe, eine brandneue Installation. Es gibt keine Chance, dass es sich nicht beschwert hat, weil es ein Zwischenzertifikat während eines vorherigen Besuchs auf einer Site heruntergeladen hat, die dieselbe Kette verwendet .

Ob die Kette ausreicht, hängt vom CA-Speicher des Clients ab. Es sieht so aus, als hätten Firefox und Google Chrome das Zertifikat für "COMODO RSA Certification Authority" Ende 2014 aufgenommen. Für Internet Explorer hängt es wahrscheinlich vom zugrunde liegenden Betriebssystem ab. Die Zertifizierungsstelle ist möglicherweise noch nicht in Trust Stores enthalten, die von Nicht-Browsern verwendet werden, z. B. Crawlern, mobilen Anwendungen usw.

In jedem Fall ist die Kette nicht vollständig korrekt, wie aus dem SSLLabs-Bericht hervorgeht :

• Ein Vertrauenspfad setzt voraus, dass die neue Zertifizierungsstelle vom Browser als vertrauenswürdig eingestuft wird. In diesem Fall versenden Sie immer noch die neue, falsche Zertifizierungsstelle, da vertrauenswürdige Zertifizierungsstellen integriert und nicht in der Kette enthalten sein müssen.
• Der andere Vertrauenspfad ist unvollständig, dh es ist ein zusätzlicher Download erforderlich. Einige Browser wie Google Chrome führen diesen Download durch, während andere Browser und Nicht-Browser erwarten, dass alle erforderlichen Zertifikate in der Lieferkette enthalten sind. Daher schlagen die meisten Browser und Anwendungen, in denen die neue Zertifizierungsstelle nicht integriert ist, mit dieser Site fehl.

Ich kontaktierte Comodo und lud eine bundle.crt-Datei von ihnen herunter. Ich habe es gemäß dem Setup dieses Servers in ssl.ca umbenannt, und jetzt besteht das Zertifikat alle Tests. Der Chain issues = Contains anchorHinweis ist kein Problem (siehe unten).

SSL Labs, weithin als der vollständigste Test angesehen, zeigt jetzt Chain issues = Contains anchor, während es früher gezeigt hat Chain issues = None(während die anderen ein Problem mit der Kette zeigten). Dies ist wirklich kein Problem ( 1 , 2 ), abgesehen von zusätzlichen 1 KB, die der Server an den Client sendet.

Meine Schlussfolgerung

1. Ignorieren Sie den SSL Labs- Test, in dem angegeben wird, Chain issues = Contains anchorODER entfernen Sie das Stammzertifikat aus der Bundle-Datei (siehe diesen Kommentar unten).

2. Führen Sie immer einen zweiten Test an mindestens einer der drei anderen Teststellen ( 1 , 2 , 3 ) durch, um sicherzustellen, dass Ihre Kette wirklich in Ordnung ist, wenn SSL Labs dies sagt Chain issues = None.