SSL安装问题 - "密钥值不匹配"(但它们匹配吗？)

Question

所以我已经发送了一个新的公共证书来安装在服务器上(.crt文件).完成.重启apache - "FAILED".

错误信息:

[Tue Jan 11 12:51:37 2011] [error] Unable to configure RSA server private key 
[Tue Jan 11 12:51:37 2011] [error] SSL Library Error: 185073780 error:0B080074:
x509 certificate routines:X509_check_private_key:key values mismatch

我检查了关键值:

openssl rsa -noout -modulus -in server.key | openssl md5
openssl x509 -noout -modulus -in server.crt | openssl md5

他们匹配.

我已经检查了我的ssl.conf文件中的路径,并且它们指向正确的文件.

如果我恢复旧的(过期的)证书文件,apache启动正常,所以它绝对不喜欢新的.

这是一个GeoTrust QuickSSL,它附带了一个"intermediate.crt",我应该使用它代替之前使用的"ca-bundle.crt"文件

SSLCertificateFile /etc/pki/tls/certs/www.domain.com.crt
SSLCertificateKeyFile /etc/pki/tls/private/www.domain.com.key
SSLCACertificateFile /etc/pki/tls/certs/intermediate.crt

我有什么想法可能做错了吗？您还需要更多信息吗？

谢谢!

Answer 1

我也遇到了同样的错误.就我而言,我必须在验证链中提供额外的CA证书.而不是在单独的文件中提供证书和密钥,我将它们组合在一个.pem文件中.

但是,执行此操作时,密钥和证书以及中间证书的顺序非常重要.正确的顺序:

your private key
your certificate
(intermediate) CA certificate lowest in the hierarchy
other CA certificates higher in the hierarchy...
(intermediate) CA certificate highest in the hierarchy

Answer 2

重新发布我的Rapid SSL证书(通过Namecheap购买)以处理Heartbeat错误时,新证书始终针对用于先前CSR请求的私钥发布.在大约第五次重发之后,将第四次重新发行尝试中使用的私钥配对使事情正常.

Answer 3

对于其他正在努力解决这个问题的人......

我最近在我的一台CentOS 6.5服务器上遇到了同样的问题,这是我生成KEY和CSR时的问题.

我有三个站点在虚拟主机上运行在这个服务器上,所有站点都有专用的ip,每个站点都有自己的SSL证书.

在更换其中一个证书时匆匆忙忙,我愚蠢地只是按照证书提供者指南获取CSR并在Apache中安装它,并且我被指示使用以下命令:

openssl req -new -newkey rsa:2048 -nodes -keyout domain-name-here.key -out domain-name-here.csr

安装新证书后,我当时也面临Apache无法启动和相同的错误/var/log/httpd/ssl_error_log:

[error] SSL Library Error: 185073780 error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch

[error] Unable to configure RSA server private key

现在我真正应该做的就是检查我的.bash_history文件,因为我之前在CentOS中成功完成了很多次.

我应该运行这两个命令:

openssl genrsa -des3 -out domain-name-here.co.uk.key 2048

openssl req -new -key domain-name-here.co.uk.key -out domain-name-here.co.uk.csr

然后,这成功生成了CSR和KEY,我使用新获得的CSR重新申请了证书,然后应用了新证书并添加了新的密钥文件,最后Apache将干净利落地启动.

另外,在稍微配置之后,我们现在在ssl实验室测试中得分A +.