标签: ssl

您可以获得适用于无限子域的扩展验证 SSL 证书吗？它有技术意义吗？我正在使用 Digicert，他们说不可能提供这样的产品。

我有一个 .p7b 格式的 SSL 证书，我需要将其转换为 .pfx。如果我通过 Windows 证书管理尝试此操作，则专家作为 .pfx 的选项将被禁用。

尝试使用 openssl 我发现以下两个命令可以进行转换：

openssl pkcs7 -print_certs -in certificate.p7b -out certificate.cer
openssl pkcs12 -export -in certificate.cer -inkey privateKey.key -out certificate.pfx -certfile CACert.cer

但我不确定 esecond 命令使用什么密钥，或者 CACert.cer 指的是什么证书。

如何将此密钥转换为 .pfx 格式？

我们刚刚从 GoDaddy 获得了一个新的 SSL 证书。而且，虽然所有浏览器都可以使用该证书，但 Safari 会出现以下错误：

此证书由未知机构签署。

我们在 Apache 的以下配置中使用链文件：

SSLEngine on
SSLCertificateFile /etc/apache2/ssl/godaddy.crt
SSLCertificateKeyFile /etc/apache2/ssl/godaddy.key
SSLCertificateChainFile /etc/apache2/ssl/gd_bundle2.crt

环顾网络，似乎其他人也遇到了这个问题（http://blog.boxedice.com/2009/05/11/godaddy-ssl-certificates-and-cannot-verify-identity-on-macsafari/ ) 但似乎没有解决方案可以解决这个问题。

有谁知道为什么会导致这种情况，或者有过这种情况发生的经验，以及如何解决？

我已经安装了证书并设置了 HTTPS 绑定。但是，当我在 HTTPS 上加载站点时，它不会加载。

我已经查看了所有设置，但一切似乎都是正确的。

我已经多次重新启动服务器。证书存储在本地计算机上的个人 > 证书下。我有证书的私钥。端口 (443) 已打开。

如果我https://localhost在服务器上尝试，该站点会加载，但会出现域错误（即，它是localhost而不是example.net）。但是https://example.net不加载。

我真的不知道为什么 HTTPS URL 没有加载。

如果网站上存在证书错误（例如域与证书中所述的内容不匹配）并且我仍然继续查看该站点，HTTPS 连接上的数据是否仍然加密？

我的理解是 SSL 证书只是验证站点所有者的身份，以便您（客户）可以确信您正在向合法公司发送数据。

这是证书提供的唯一作用，还是它在加密过程中也发挥作用，以至于上述错误会导致加密被跳过？

在 IIS 7.5 上，我试图通过两个网站实现这一目标：

Default Web Site is bound to:

(blank host header port 80 - http)
(blank host header port 443 - https)
go.example.com
www71.example.com
the IP address of go.example.com

2nd web site "Beta" is bound to:

beta.example.com
(blank host header port 443 - https)
* using blank only because it doesn't seem to be possible to 
  bind https to a named host header

并且两者都需要使用 SSL。但我有这些问题：

1. 当我输入 beta.example.com 时，我看到的是 go.example.com 站点
2. 我似乎无法同时将 SSL 绑定添加到两个网站（我有一个 *.example.com 通配符证书）。如果我向它添加 https 绑定，测试站点甚至不会启动。

这是我设置它的方式： …

我想强制对我的虚拟主机进行 ssl 客户端验证。但是得到“没有发送所需的 SSL 证书”错误，试图从中获取一些东西。

这是我的测试配置：

# defaults                                                                                                                                                                    
ssl_certificate /etc/certs/server.cer;                                                                                                                                 
ssl_certificate_key /etc/certs/privkey-server.pem;                                                                                                                     
ssl_client_certificate /etc/certs/allcas.pem;                                                                                                                                 

server {                                                                                                                                                                      
    listen 1443 ssl;                                                                                                                                                          
    server_name server1.example.com;                                                                                                                                          
    root /tmp/root/server1;                                                                                                                                                   

    ssl_verify_client off;                                                                                                                                                    
}                                                                                                                                                                             

server {                                                                                                                                                                      
    listen 1443 ssl;                                                                                                                                                          
    server_name server2.example.com;                                                                                                                                          
    root /tmp/root/server2;                                                                                                                                                   

    ssl_verify_client on;                                                                                                                                                     
} 

第一个服务器回复 200 http 代码，但第二个服务器返回“400 Bad Request, No required SSL certificate was sent, nginx/1.0.4”。

也许，在同一个 IP 上使用 ssl_verify_client 是不可能的？我应该将这些服务器绑定到不同的 IP，它会解决我的问题吗？

最近我们的基础架构团队告诉我们的开发团队，您不需要 https 证书。他们提到购买证书的唯一好处是让消费者放心，他们正在连接到正确的网站。

这与我对 https 的假设背道而驰。

我阅读了维基百科，它提到您需要一个受信任的证书或一个自签名证书来配置 https。

是否可以将 IIS 配置为在没有任何证书的情况下响应 https ？

我正在尝试将我的网站的根目录重定向到 https。尽管重写发生了，但 https 不会产生任何结果。浏览器说。connecting to thinkingmonkey.me...和停滞。

• 听 80和听 443存在于 conf 文件中。
• 我已经重新启动了 httpd。
• 我正在使用正确的证书文件和私钥文件。
• httpd 日志中没有错误，SSL 日志（我有一个单独的SSl 日志）。
• 即使我尝试直接访问https://thinkingmonkey.me，实际上也没有任何内容记录到 SSL 访问日志中。

Anetstat -pant | grep httpd有这个：

Proto Recv-Q Send-Q Local Address               Foreign Address             State       PID/Program name  
tcp        0      0 :::443                      :::*                        LISTEN      1334/httpd          
tcp        0      0 :::80                       :::*                        LISTEN      1334/httpd   

.htaccess：

RewriteEngine on
RewriteBase /

RewriteCond %{SERVER_PORT} 80
RewriteCond %{REQUEST_URI} ^/$
RewriteRule ^(.*)$ https://thinkingmonkey.me [L,R=302]

重写日志数据： …

我有一个在 RHEL4 上运行 Apache 2.0 的 Web 服务器。此服务器最近未能通过 PCI 扫描。

原因：SSLv3.0/TLSv1.0 协议弱 CBC 模式漏洞 解决方案：此攻击在 2004 年和 TLS 协议的后续修订版中发现，其中包含对此的修复。如果可能，请升级到 TLSv1.1 或 TLSv1.2。如果无法升级到 TLSv1.1 或 TLSv1.2，则禁用 CBC 模式密码将消除该漏洞。在 Apache 中使用以下 SSL 配置可缓解此漏洞： SSLCipherSuite RC4-SHA:HIGH:!ADH 上的 SSLHonorCipherOrder

简单的修复，我想。我将这些行添加到 Apache 配置中，但它不起作用。显然，
“SSLHonorCipherOrder On”仅适用于 Apache 2.2 及更高版本。我尝试升级 Apache，很快就遇到了依赖关系，看来我必须升级整个操作系统才能升级到 Apache 2.2。我们将在几个月后停用此服务器，因此不值得。

解决方案说“如果无法升级到 TLSv1.1 或 TLSv1.2，则禁用 CBC 模式密码将消除该漏洞。”

我将如何在 Apache 2.0 上执行此操作？这甚至可能吗？如果没有，还有其他解决方法吗？