仅限移动设备上的SSL证书"err_cert_authority_invalid"

Question

域名:https: //www.amz2btc.com

SSL实验室分析:https://www.ssllabs.com/ssltest/analyze.html？ d = amz2btc.com

我的桌面浏览器都打开了.移动Firefox打开这个很好.只有当我尝试使用移动Chrome时才会出现错误: err_cert_authority_invalid

我对SSL知之甚少,所以我无法理解SSL报告或为什么会出现这个错误.如果有人能够ELI5,那将是理想的.:)

Answer 1

我只是花了一个上午处理这件事.问题不在于我丢失了证书.这是我有一个额外的.

我开始使用包含服务器密钥的ssl.conf和SSL证书颁发机构提供的三个文件:

#   Server Certificate:
SSLCertificateFile /etc/pki/tls/certs/myserver.cer

#   Server Private Key:
SSLCertificateKeyFile /etc/pki/tls/private/myserver.key

#   Server Certificate Chain:
SSLCertificateChainFile /etc/pki/tls/certs/AddTrustExternalCARoot.pem

#   Certificate Authority (CA):
SSLCACertificateFile /etc/pki/tls/certs/InCommonServerCA.pem

它在台式机上运行良好,但Android上的Chrome给了我 err_cert_authority_invalid

很多头疼,搜索和后来的糟糕文档,我发现它是服务器证书链:

SSLCertificateChainFile /etc/pki/tls/certs/AddTrustExternalCARoot.pem

那就是创建第二个不完整的证书链.我评论了那条线,留给我

#   Server Certificate:
SSLCertificateFile /etc/pki/tls/certs/myserver.cer

#   Server Private Key:
SSLCertificateKeyFile /etc/pki/tls/private/myserver.key

#   Certificate Authority (CA):
SSLCACertificateFile /etc/pki/tls/certs/InCommonServerCA.pem

现在它再次在Android上运行.这是在运行Apache 2.2的Linux上.

Answer 2

我通过Parse托管网站并使用NameCheap转售的Comodo SSL证书时遇到了同样的问题.

您将在zip文件夹中收到两个证书文件:www_yourdomain_com.ca-bundle www_yourdomain_com.crt

您只能将一个文件上传到Parse: Parse SSL Cert Input Box

在终端中使用以下两个文件组合:

cat www_yourdomain_com.crt www_yourdomain_com.ca-bundle > www_yourdomain_com_combine.crt

然后上传到Parse.这应该可以解决Android Chrome和Firefox浏览器的问题.您可以通过https://www.sslchecker.com/sslchecker进行测试来验证它是否有效

Answer 3

对于那些在IIS服务器上有此问题的人.

说明:有时证书带有中间证书的URL而不是实际证书.桌面浏览器可以使用此URL 下载缺少的中间证书.但是较旧的移动浏览器无法做到这一点.所以他们抛出这个警告.

你需要

1)确保服务器提供所有中间证书

2)在IIS中禁用不需要的证书路径 - 在"受信任的根证书颁发机构"下,您需要为触发下载的证书"禁用所有目的".

PS.我的同事写了一篇博文,内容更详细:https://www.jitbit.com/maxblog/21-errcertauthorityinvalid-on-android-and-iis/

Answer 4

SSLabs的报告称:

  This server's certificate chain is incomplete. Grade capped to B.
  ....
  Chain Issues                  Incomplete

桌面浏览器通常具有从先前连接缓存的链证书,或者从证书中指定的URL下载它们.移动浏览器和其他应用程序通常不会.

通过包含丢失的证书来修复您的链条,一切都应该是正确的.

Answer 5

我希望我不会太迟,这个解决方案对我有用,我使用的是COMODO SSL,上述解决方案随着时间的推移似乎无效,我的网站lifetanstic.co.ke

而不是联系Comodo支持并获得CA捆绑文件您可以执行以下操作:

当您从Comodo(通过邮件)获得新的SSL证书时,他们会附加一个zip文件.您需要解压缩zip文件并在文本编辑器中打开以下文件,如记事本:

AddTrustExternalCARoot.crt
COMODORSAAddTrustCA.crt
COMODORSADomainValidationSecureServerCA.crt

然后复制每个".crt"文件的文本,并将文本粘贴在"证书颁发机构捆绑包(可选)"字段中.

之后,只需像往常一样在"证书"字段中添加SSL证书,然后单击"按证书自动填充"按钮并点击"安装".

灵感来自这个要点:https://gist.github.com/ipedrazas/6d6c31144636d586dcc3