标签: ssl

我的公司有一个内部证书颁发机构，目前是自签名的。由于我们希望开始将其用于外部 SSL 和向客户发送安全电子邮件，因此我们需要对其进行信任。

有没有人知道获得内部 PKI 的可信根证书的成本是多少？4位数？5位数？6位数？我们雇佣了 2000-3000 名员工。

TLS 是 SSL 的“新”版本吗？它添加了哪些功能，或者解决了哪些安全问题？

任何支持 SSL 的东西都可以支持 TLS 吗？进行转换会涉及什么？转机值得吗？

为什么通过“Opportunistic TLS”和通常称为 SSL VPN 的 VPN 发送电子邮件？技术上是否存在差异，也许为“TLS VPN”产品线创造了空间？

我一直在尝试通过 SSL 连接到 LDAPS 服务器 (Active Directory) 以使其正常工作，但一直遇到问题。我尝试使用这个：

openssl s_client -connect the.server.edu:3269 

结果如下：

verify error:num=20:unable to get local issuer certificate 

我想，好吧，服务器是几年前的旧生产服务器。也许 CA 不存在。然后我将输出中的证书提取到 pem 文件中并尝试：

openssl s_client -CAfile mycert.pem -connect the.server.edu:3269

这也不起作用。

我错过了什么？这不应该总是有效吗？

有几台计算机（但不是大多数）拒绝了来自我的网络服务器的 SSL 证书。问题似乎是某些计算机拒绝了 CA 证书。当 Mac OS X 10.6 未完全更新时，该问题似乎会出现在 Mac OS X 10.6 上。

根据http://www.sslshopper.com/index.php?q=ssl-checker.html#hostname=beta.asana.com - 没有问题。

根据http://certlogik.com/sslchecker/，没有发送中间证书。

我的证书来自 Starfield Technologies，我sf_bundle.crt从这里使用：certs.godaddy.com/anonymous/repository.seam

我正在通过 stunnel 在我的服务器上处理 SSL，如下所示stunnel.conf：

cert = $CODEZ/admin/production/proxy/asana.pem
CAfile = $CODEZ/admin/production/proxy/sf_bundle.crt
pid =
client = no

[<forwarded port>]
accept = 443
connect = 8443

任何想法我可能做错了什么？

我刚刚为我们的域安装了 SSL 证书，现在当我尝试使用 https 浏览站点时，我在本地和来自客户端的 FF 和 chrome 中都收到连接重置错误。我仍然可以在没有 SSL 的情况下访问该站点（使用 http）。

如果它有任何区别，我为不同的网站安装了另一个 SSL 证书，但它绑定到不同的 IP。

我们在 Win2K8 上运行 IIS7

编辑：对于不使用 https 的站点：我也无法通过它的 IP 地址访问该站点。我可以访问它的唯一方法是通过常规 http 和使用域名。

我希望配置 OpenSSL，以便在运行openssl req -new以生成新的证书签名请求时，系统会提示我将任何备用主题名称包含在 CSR 中。

我已将此行添加到[req_attributes]我的部分openssl.cnf：

subjectAltName                  = Alternative subject names

这具有预期的效果，现在在生成 CSR 时会提示我输入 SAN：

$ openssl req -new -out test.csr -key ./test.key                            <<<
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there …

我想知道如何手动（使用 openssl 而不是 puppet ca 命令）创建 Puppet 可以使用的 CA？目标是编写此类 CA 的脚本，以将它们部署在多个 puppetmaster 上，而不是通过 puppet cert 命令在它们上创建证书。

关于如何做到这一点的任何想法？我只能找到类似的东西：https : //wiki.mozilla.org/ReleaseEngineering/PuppetAgain/HowTo/Set_up_a_standalone_puppetmaster 但它无法工作 - 在创建 CA 和客户端证书并将它们应用到 puppetmaster 之后，它抱怨：

Feb 16 09:35:20 test puppet-master[81728]: Could not prepare for execution: The certificate retrieved from the master does not match the agent's private key.
Feb 16 09:35:20 test puppet-master[81728]: Certificate fingerprint: 4F:08:AE:01:B9:14:AC:A4:EA:A7:92:D7:02:E9:34:39:1C:5F:0D:93:A0:85:1C:CF:68:E4:52:B8:25:D1:11:64
Feb 16 09:35:20 test puppet-master[81728]: To fix this, remove the certificate from both the master and the agent and then start a …

我有一个运行 Apache 2.2.22 和 mod_ssl 和 OpenSSL v1.0.1 的 Ubuntu 12.04.2 LTS 服务器。

在我的虚拟主机配置（一切在其中表现为我所期望的），我有SSLProtocol跟线-all +SSLv3。

通过这种结构，TLS 1.1和1.2都启用并正确的工作-这是反直觉和我说话，我会认为只有SSLv3的将被启用考虑到的配置。

我可以很好地启用/禁用 TLSv1 -/+TSLv1，并且它按预期工作。但是+/-TLSv1.1并且+/-TLSv1.2不是有效的配置选项 - 所以我不能那样禁用它们。

至于我为什么要这样做 - 我正在处理一个第三方应用程序（我无法控制），它在启用 TLS 的服务器上有一些错误行为，我需要完全禁用它才能继续前进。

这是 RDP 状态的快照。看起来挺好的：

当我从远程机器连接时，出现错误：

"This computer can't connect to the remote computer. 
Try connecting again. If the problem continues..."

我已经远程测试了端口 3389，它是开放的。我已经用 netstat 测试过了。

TCP    0.0.0.0:3389           hostname:0                LISTENING

• 没有 Windows 防火墙
• 无网络防火墙
• 全新的自签名证书
• 机器最近重新启动，在那之前工作过
• 终端服务正在运行
• 当我检查 SSL 证书时，它显示了所有详细信息，看起来不错，2014 年到期
• hklm:\System\CurrentControlSet\Control\Terminal Server\fDenyTSConnections 为 0
• C:\ProgramData\Microsoft\Crypto\RSA\MachineKeys 管理员拥有所有权限

更新：

现在我在管理事件下的事件日志中找到了这个：

"A fatal error occurred when attempting to access the SSL server credential 
private key. The error code returned from the cryptographic module is 0x8009030D. 
The internal error state is 10001." 

我不确定如何解决上述错误。我也不确定这是我导入的 RD …

我正在生成一个自签名 SSL 证书：

$ openssl req -x509 -newkey rsa:2048 -subj 'CN=example.com'

我还想在创建时指定一个subjectAltName，但我无法在 openssl 联机帮助页中找到有关如何执行此操作的信息。