ERR_SSL_KEY_USAGE_INCOMPATIBLE 解决方案

Question

我最近在使用自签名证书的 chrome 中遇到了错误消息 ERR_SSL_KEY_USAGE_INCOMPATIBLE。在最终重新生成证书之前，我花了几个小时试图解决问题：

openssl req -new -x509 -days 36500 -nodes -newkey rsa:2048 -keyout cert.key -out cert.crt -extensions v3_req

希望这对其他人有帮助。

Answer 1

我通过改变来解决这个问题 keyUsage = keyEncipherment, dataEncipherment要keyUsage = nonRepudiation, digitalSignature, keyEncipherment在节v3_req中的文件req.conf一样acme.sh确实有铬75，现在没有错误。

我的问题可能有点不同。tls1.2的原始配置没问题，但ERR_SSL_KEY_USAGE_INCOMPATIBLEtls1.3。

生成证书的命令如下。

openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -keyout cert.key -out cert.cer -config req.conf -extensions v3_req

我的 req.conf 的全部内容

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
# C = US
# ST = California
# L = Los Angeles
# O = Internet Corporation for Assigned Names and Numbers
# OU = IT Operations
CN = home.arpa
[v3_req]
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = home.arpa
DNS.2 = *.home.arpa
IP.1 = 192.168.1.1
IP.2 = fe80::123:4567:89ab:cdef

Answer 2

此问题与“v3_req”的 SSL 配置中的“KeyUsage”参数的值有关。

从配置中删除“KeyUsage”将意味着任何用法对于证书都是有效的。由于某种原因（我尚未确定），如果指定了 keyusage，Chrome 75/76 将拒绝通过本地主机进行自签名证书的密钥。

从 v3_req 中删除“KeyUsage”参数并重新生成证书可以修复该问题，因此 Tiffany 发布的命令将在未指定 KeyUsage 的情况下运行。