信任来自IIS的自签名证书

Question

我有一个外部托管的iis网络服务器,我运行我的网站.我想在本网站上添加一个自签名证书,并在我的本地客户端上信任它,从浏览器中删除"不安全连接".

到目前为止我所做的是以下内容

1. 在IIS中创建自签名证书:服务器证书 - >创建自签名证书.证书颁发给服务器名称,例如"ABCD01"
2. 使用自签名证书创建了具有https绑定的网站.
3. 使用以下命令从IIS导出自签名证书:服务器证书 - >导出.这导致.pfx文件
4. 在本地客户端上导入.pfx证书文件:管理计算机证书 - >受信任的根证书颁发机构 - >导入
5. 将主机名(ABCD01)和主机IP添加到hosts文件中:C:\ Windows\System32\drivers\etc\hosts

当我尝试在firefox中打开网站时(使用https:// ABCD01),我仍然得到"你的连接不安全".我错过了什么？

Answer 1

有很多问题:

1. IIS证书生成器使用SHA1签名算法创建自签名证书,这在现代浏览器中已过时.您必须使用不同的工具来创建测试证书.例如,使用PowerShell New-SelfSignedCertificatecmdlet可以指定签名算法.看看这篇文章得到一个例子:https://stackoverflow.com/a/45284368/3997611

New-SelfSignedCertificate `
    -DnsName "ABCD01" `
    -CertStoreLocation "cert:\LocalMachine\My" `
    -FriendlyName "test dev cert" `
    -TextExtension "2.5.29.37={text}1.3.6.1.5.5.7.3.1" `
    -KeyUsage DigitalSignature,KeyEncipherment,DataEncipherment `
    -Provider "Microsoft RSA SChannel Cryptographic Provider" `
    -HashAlgorithm "SHA256"

2. IIS证书生成器无法使用Google Chrome中需要的SAN(使用者备用名称)证书扩展来构建证书.您必须使用不同的工具来创建测试证书.请查看上面的示例以供参考.

3. Google Chrome使用内置Windows证书存储来建立信任,而FireFox则使用自己的证书存储.因此,将证书添加到Windows证书存储区后,您必须手动将测试证书导入FireFox.