如何修复不完整的 SSL 链

Question

我安装了 Go Daddy SSL 证书，并且在除 Android 之外的任何地方都可以正常工作。

https://www.ssllabs.com/ssltest/analyze.html 说该链不完整，我在堆栈溢出中读到了错误顺序的 SSL 链将在 Android 上失败。

但是我该如何安排呢？在我的服务器上？SSL证书本身需要重新加密吗？在 FTP 上移动东西？

Answer 1

跟进 zakjan 的回答，当我尝试使用 jquery 在我的新安全服务器上在 android webview 中执行 AJAX 请求时遇到了问题。它在浏览器中有效，但在我的应用程序中无效。

我用过这个网站：https : //certificatechain.io/

我粘贴了我从 Comodo (positiveSSL) 返回的已签名的 .crt 文件的文本，它给了我我需要的所有内容的连接。我将它保存为我的域 +“chain.crt”（见下文）

然后，在我的 apache 配置中，我为那个特定的虚拟主机输入了这样的内容：

SSLEngine On
SSLCertificateFile /etc/ssl/localcerts/example_com.crt
SSLCertificateKeyFile /etc/ssl/localcerts/example.com.key
SSLCACertificateFile /etc/ssl/localcerts/example.com.chain.crt

之后，我的 Android 应用程序的 webview 没有问题，使用 ajax POST 到我的服务器。我在 2 个真实世界的设备上尝试过，一个运行 2.3.4，一个运行 4.something。在运行 2.3 的模拟器上。所有的工作。

我希望这有帮助。

Answer 2

该链在 crt 文件中，原始 SSL 正在运行。

对于 GoDaddy，有第二个证书 - gd_bundle.crt

复制此信息并将其添加到服务器上安装的 crt。

所以服务器上的原始 crt 有 1 个证书，之后它将在同一个文件上有 3 个。这是链条。

我仍然在 ssllabs.com 上的链问题中包含锚点，但这不是问题，只是一个选择离开或离开 - 根据 - https://security.stackexchange.com/questions/24561/ssltest-chain-issues -包含锚点/24566#24566

Answer 3

您可以通过将证书中的所有证书连接到受信任的根证书（独占，按此顺序）来手动解决证书链不完整问题，以防止此类问题。请注意，受信任的根证书不应存在，因为它已包含在系统的根证书存储中。

您应该能够从颁发者那里获取中间证书并自己将它们连接在一起。顺便说一句，我编写了一个脚本来自动化该过程，它需要一个证书来生成正确链接的证书的输出。https://github.com/zakjan/cert-chain-resolver