使用'badidea'或'thisisunsafe'来绕过Chrome证书/ HSTS错误仅适用于当前网站吗？

Question

有时Chrome不允许您访问某些网站并丢失证书/ HSTS错误.我发现在Chrome窗口中输入badidea(最近thisisunsafe)会告诉Chrome跳过证书验证.

此解决方案是否仅适用于特定网站,或者在我使用此关键字后Chrome会忽略所有网站的证书/ HSTS错误？

Answer 1

这是针对每个站点的.因此,如果您键入一次,您将只能通过该站点,所有其他站点将需要类似的类型.

它也记得该网站,你必须点击挂锁重置它(所以你可以再次输入):

不用说,使用这个"功能"是一个坏主意,并且不安全 - 因此得名.

您应该找出网站显示错误的原因和/或在修复错误之前停止使用它.HSTS专门为不良证书添加保护措施,以防止您点击它们.需要它的事实表明https连接有问题 - 比如网站或您与它的连接被黑客入侵.

Chrome开发人员也会定期更改此信息.他们最近改变badidea了thisisunsafe所以每个人都使用它badidea,突然停止使用它.你不应该依赖它.正如Steffen在下面的评论中所指出的那样,如果它们再次改变,它可以在代码中使用,尽管它们现在对它进行base64编码以使其更加模糊.他们最后一次更改时将这个评论放在提交中:

旋转插页式旁路关键字

安全插页式旁路关键字在两年内没有发生变化,并且博客和社交媒体对旁路的认识也有所提高.旋转关键字以防止滥用.

我认为Chrome团队的消息很明确 - 您不应该使用它.如果他们将来完全删除它,我不会感到惊讶.

如果您在使用自签名证书进行本地测试时使用此功能,那么为什么不将自签名证书证书添加到计算机的证书存储区中,这样您就可以获得绿色挂锁而不必输入？注意Chrome SAN现在坚持使用证书中的字段,因此如果只使用旧subject字段,那么即使将其添加到证书存储区也不会产生绿色挂锁.

如果您保留证书不受信任,则某些事情不起作用.对于不受信任的证书,完全忽略缓存.和HTTP/2推送一样.

HTTPS仍然存在,我们需要习惯于正确使用它 - 而不是绕过可能发生变化且与完整HTTPS解决方案不同的黑客的警告.

Answer 2

我是一名PHP开发人员,能够使用证书在我的开发环境中工作,我能够通过查找真正的SSL HTTPS/HTTP证书并删除它来做同样的事情.

步骤是:

1. 在地址栏中,输入"chrome:// net-internals/#hsts".
2. 在"删除域"下面的文本字段中键入域名.
3. 单击"删除"按钮.
4. 在"查询域"下面的文本字段中键入域名.
5. 单击"查询"按钮.
6. 您的回答应为"未找到".

您可以在以下网址找到更多信息:http: //classically.me/blogs/how-clear-hsts-settings-major-browsers

虽然这个解决方案不是最好的,但Chrome目前还没有任何好的解决方案.我已经与他们的支持团队一起升级了这种情况,以帮助改善用户体验.

编辑:每次进入生产网站时都必须重复这些步骤.

Answer 3

SSL 错误通常是由 Cyber​​roam 等网络管理软件引发的。

为了回答你的问题，

每次访问网站时，您都必须在 Chrome 中输入badidea 。

您有时可能需要多次输入，因为网站可能会在加载前尝试提取各种资源，从而导致多个 SSL 错误