NET::ERR_CERT_REVOKED 在 Chrome/Chromium 中，随 MacOS Catalina 引入

Question

我正在测试一个设备，它在每次硬重置后生成一个新的自签名证书。

安装 MacOS Catalina 后，最新版本的 Chrome（和 Brave）立即开始抛出NET::ERR_CERT_REVOKED异常，即使此设备绝对没有已发布的 CRL，并且重置时生成的证书具有唯一的序列号。

错误消息具有以下形式：

您现在无法访问[地址已编辑]，因为其证书已被吊销。网络错误和攻击通常是暂时的，所以这个页面可能会在以后工作。

单击“高级”按钮不提供任何方法来覆盖此错误。

这里发生了什么？我怎样才能解决这个问题，又不会使我的浏览器对于通用用途不安全（就像告诉它不加选择地忽略所有证书错误一样）？

Answer 1

快速解决方法（确保您信任该站点）

在页面上的 chrome 浏览器中，键入：

thisisunsafe

• 来源https://podtech.com/os/mac-osx/chrome-catalina-certificate-issue/

Answer 2

Apple 为 Catalina 接受 SSL 证书引入了一系列新要求，记录在https://support.apple.com/en-us/HT210176。在这里总结一下：

• 密钥大小必须至少为 2048 位。
• 哈希算法必须是 SHA-2 或更新的。
• DNS 名称必须在 SubjectAltName 中，而不能仅在 CN 字段中。

此外，对于 2019-07-01 之后签发的证书：

• ExtendedKeyUsage 扩展必须存在，带有 id-kp-ServerAuth OID。
• 有效期不得超过825天。

...并且，对于 2020 年 8 月 1 日之后颁发的证书（根据HT211025）：

• 有效期不得超过398天

Answer 3

如果您需要一种解决方法来使站点正常工作而不更换证书，您可以执行以下操作。

1. 从服务器下载证书（使用其他浏览器或使用 openssl）
2. 将证书安装到登录存储下的 Keychain Access 中
3. 安装后双击证书，将其设置为“始终信任”。