¿Por qué este certificado no es seguro?

Question

¿Por qué este certificado no es seguro?

#1 de dave_thompson_085 (3 votos)
#2 de Swashbuckler (1 votos)

0

Tras la pregunta anterior, todavía tengo un problema con los certificados SSL y mi navegador Firefox cree que la conexión es no es seguro.

Creación de certificado

He creado un certificado por

Todas las contraseñas: arnsihtVrrlprephcikrdta23p14351

$ openssl genrsa -des3 -out server.key 1024
Generating RSA private key, 1024 bit long modulus
.......++++++
........................++++++
e is 65537 (0x10001)
Enter pass phrase for server.key:
Verifying - Enter pass phrase for server.key:


$ openssl req -new -key server.key -out server.csr
Enter pass phrase for server.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:AU
State or Province Name (full name) [Some-State]:VIC
Locality Name (eg, city) []:Melbourne
Organization Name (eg, company) [Internet Widgits Pty Ltd]:myOrg
Organizational Unit Name (eg, section) []:mySection
Common Name (e.g. server FQDN or YOUR name) []:localhost:8080
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:challengeme28392r
An optional company name []:


$ openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
Signature ok
subject=/C=AU/ST=VIC/L=Melbourne/O=myOrg/OU=mySection/CN=localhost:8080
Getting Private key
Enter pass phrase for server.key:
$

Y luego, creé un PKCS # 12 para importarlo desde Firefox:

Exportar contraseña: aorsta226krstafSRsurerf234

$ openssl pkcs12 -export -in server.crt -inkey server.key -out server.p12
Enter pass phrase for server.key:
Enter Export Password:
Verifying - Enter Export Password:

El archivo de salida:

server.key

server.crt

server.p12

3082 0649 0201 0330 8206 0f06 092a 8648
86f7 0d01 0701 a082 0600 0482 05fc 3082
05f8 3082 02f7 0609 2a86 4886 f70d 0107
06a0 8202 e830 8202 e402 0100 3082 02dd
0609 2a86 4886 f70d 0107 0130 1c06 0a2a
8648 86f7 0d01 0c01 0630 0e04 086e 3b7f
e774 616b 6702 0208 0080 8202 b0e1 1a84
261e 2e2b 1ab0 6c7f f43f d572 d794 0517
7a95 1e6d b07d ee01 e042 b45d b876 9591
35cb 1d57 fb78 4a4a f8f8 c6f8 5aa4 a82c
0fba c5f2 8609 426a 709f aeeb 0808 e3e7
a4a8 565c 96b0 91f6 e4d3 0c23 3524 71ae
352f cfe8 fb9d b95f 11a1 131a 404e 5c5b
bd0b 13f9 7b4a 235e ae94 d4f4 53d4 5034
f6a0 a730 2020 f222 ab08 b5c7 f8d3 15a8
cad0 0943 50b5 d84f c9b2 ad45 b31b 234c
85c9 152c 5856 f8a7 f203 3e9f 6311 e537
1149 676c 5448 a4d5 3ca7 305b afd4 fa43
1ee4 4b49 339f 405b c494 1e0e 02ff c28f
2ad7 284e 99f9 f051 f809 f4f7 6a7c fa40
6fef ebe4 8f92 f860 9b90 3a01 3ffa 9bd5
772a 3ef6 c3b3 d7f4 0970 0591 6664 e30b
3a25 76ad cdf7 41f5 9d21 8a44 5a68 4d0f
2fe4 7285 fde8 0034 42e8 52b9 1a02 0640
ab8e 6385 d9f8 b937 b592 48ba c443 9040
6fb1 86ab b850 2ac3 dfce 6665 4f13 8e22
17c2 fbc5 bdaf 72fc 522c 9d16 999b ae76
3290 e778 6459 1c13 f846 55dc 3539 113e
effd e79a e07f 9318 821f 5cc8 4e95 cd4f
e9f9 4dd1 e786 e8d0 2c72 8226 bb8e b5d8
ffd9 5f13 47cc db6d 4c3b efe0 4bc5 3eb6
22fe 3019 94d2 7460 e6df f084 a2ef 87ae
9062 4622 bf72 928d e80d e56b 5f7e 54ed
6760 8de6 2448 28cb 69f4 1764 b1b8 b846
10e7 1e64 e1fc f1d7 ae47 024c 9c7d 0a89
ddb8 62c4 6dc5 2597 eea9 b8a9 3efa bc70
b325 b39d df51 dcb9 357d 6ff9 3286 961d
37c8 b6cd e6de da50 f6a0 49f9 81f6 2ed5
893e 4771 610a 6ca7 54ac 5d1f 46a0 2a9b
a4f5 86c2 3e59 79a0 c4c0 eef6 00de 77de
fb89 95f3 2551 bf10 2cb4 6a49 f0ce ab55
d4b4 18a8 03c2 96bd 1c0b 0c7d e78f 033e
951e 6e00 c43b bd7f f1c1 5dfb d460 582c
459d e0a0 a5b5 8342 826d 70fc 8526 214a
4cb0 923f 0a53 1cd0 f279 170d b6be 35d5
da13 5d86 02fc a154 f0a7 7c40 64ee 8f9d
41be cf1d fb76 df63 d80a 066c a833 04c2
9211 c2de a949 a26a d45c 35c5 4a35 21a0
cba3 7a3b 4d1e ebe9 b2f4 2223 3d89 1606
d7c4 8339 fee8 7cde c4ad 95c2 8130 8202
f906 092a 8648 86f7 0d01 0701 a082 02ea
0482 02e6 3082 02e2 3082 02de 060b 2a86
4886 f70d 010c 0a01 02a0 8202 a630 8202
a230 1c06 0a2a 8648 86f7 0d01 0c01 0330
0e04 083f 34ee e00b b9ed fd02 0208 0004
8202 80a3 5544 cccf 2bfd c353 fc40 afe5
ecf4 1ee6 8d29 25a7 2761 c2c1 5caf ce63
32aa 1c9d cfeb 86a8 84fc 2639 a5c8 33e3
7f3c d51c 9e54 10bf 7d22 450d a49d ac3e
c3eb ee3e ec21 07b3 7444 2430 339f 919a
fb76 134f ea3d f610 9269 19c2 70a4 2f4d
3263 29b0 5293 8544 956a 30c0 3e1c 72f6
a033 9658 c831 1d58 71a8 f9fa 71e4 0f3e
8d29 6436 5bc2 177c ddba c619 cf1f 4968
b5a9 40bb 15f3 f856 1c44 dadf 1905 88d1
38e3 dba5 dc56 d0ae 3812 05c4 2233 a146
3477 d5c9 eec0 7ac2 bedd e230 4306 f2ea
59d6 e2c9 ecd8 b34f f31b 0ba4 0fa3 17f9
7930 cbdd 0aec 3ad4 c089 0f3b cc9c af47
18e6 8e2b dd1c d160 09c5 4b01 520e d662
23cb f6de 84a7 98c7 0613 3305 462f a96a
9a0e a38a d14b d58a f290 973c f4d8 c091
8440 3209 a18e dd1b 7afb 3ab3 8897 6663
f10c 0883 5771 bbe2 b814 0136 00a7 ecd6
9505 db41 d19b 4211 84cd cb9e dc0d f248
318e 911f 6b18 56f2 9092 602d 9989 0661
f5de 6686 9d9f feb9 4fe2 e960 88b5 722e
6cc6 af1b 7c56 6e1c de00 132a b464 65dc
1fee 23e3 06b9 a046 0026 08ba c513 4d6d
c9dd 7308 8cce 2287 b22c 5b00 88a2 36b1
f4b8 a839 30a4 50a5 7a05 9362 c841 c7fa
c184 e436 071d ffd1 d022 5016 b83b 6e17
4e05 20eb 43e0 9aac bc2d 8eb7 be20 1893
9f21 945e 061f 8966 128d 0b65 d83a d2e7
7708 143f 5cd9 0a47 dcfc 8084 a921 2f7f
a0e9 74d8 9f96 03ab b0e8 e5cf 60a0 7473
6103 04e6 ac54 1856 9537 0da3 0147 e992
5a98 6ff0 a53f 50ff 09d6 119c c633 dd18
3921 b6c4 253e b53e d85d 7883 c24a bffe
deb3 b072 dc0f c7e8 df05 dd90 8424 d4c9
e02f ccfa 5eca 80aa 8df5 b0b4 8a47 0926
c53b cde3 2d8c 11ad ddd1 f12c 6cd2 d36c
2621 93d3 8695 c7af 5f9c c003 fa06 3cf7
ca3b 2f38 b2df c08c 38fc 87a6 4d85 67fb
19ec 949f a41e a2c0 17a2 c97a 34fb c504
e222 ec31 2530 2306 092a 8648 86f7 0d01
0915 3116 0414 62b5 1783 2f3b bb33 d423
afc7 f2df 326c 5db9 959b 3031 3021 3009
0605 2b0e 0302 1a05 0004 14c1 5ae0 1116
ce4c 5303 b95b 31cd f433 4447 5839 d904
0837 b3b7 6dcb ef21 2a02 0208 00

Importar certificado a Firefox

En Firefox, he importado server.p12 como your certificate que me pidió una contraseña (Exportar contraseña: aorsta226krstafSRsurerf234).

El certificado se importa con éxito.

servidor C ++

Compilé y ejecuté Simple-Web-Server ,

$ make

Incluso me pide la contraseña:

./https_examples
Enter PEM pass phrase:

que ingresé (pase = arnsihtVrrlprephcikrdta23p14351).

Cargando la página

Cargué:

enlace

Y vea el mensaje:

Su conexión no es segura

y

El propietario de localhost ha configurado su sitio web incorrectamente. Para proteger su información contra el robo, Firefox no se ha conectado a este sitio web

Cuando agrego la excepción, puedo cargar la página con un signo de advertencia de seguridad en la parte superior.

Wireshark

Capturo el puerto 8080 . Los datos parecen estar encriptados:

¿Qué está mal?

Mi pregunta es ¿qué está mal?

¿Cuál es el siguiente paso para verificar?

tls certificates firefox

pregunta ar2015 02.07.2017 - 02:57

fuente

2 respuestas

3

Obtener un certificado de una CA 'real' (una confianza establecida en Firefox por defecto) es ciertamente el mejor enfoque, pero eso requiere que use (y tenga) un nombre de dominio público. Se puede conseguir que Firefox confíe en un certificado que usted mismo firma, incluso como aquí se firma con su propia clave y nombre (denominado autofirma).

Para que Firefox confíe en un certificado que identifica un servidor , el certificado debe estar firmado (posiblemente a través de una cadena) por un certificado en la pestaña "Autoridades" NO en la pestaña "Sus certificados", que es para certificados y claves que autentican el navegador (y el usuario del navegador). En el caso de un certificado autofirmado, el 'certificado CA' es en realidad el propio certificado. Debe eliminar la entrada en 'Sus certificados' y importar solo el certificado (NO la p12) a 'Autoridades' con configuración de confianza 'puede identificar sitios web' .

Notas adicionales:

El aviso para establecer solo el CommonName en el Asunto para identificar un certificado de servidor SSL / TLS está desactualizado. La extensión SubjectAlternativeName, generalmente abreviada como SAN y con frecuencia referenciada por otros nombres como multidominio y UCC, se introdujo hace más de una década para permitir una mayor flexibilidad, y en la lenta marcha del progreso, Chrome hace solo unos meses comenzó a reaparecer SAN (y certificados de rechazo que solo usan CN); Se espera que Firefox siga su ejemplo.

Desafortunadamente, hacer SAN con openssl x509 -req es un poco inconveniente; ya hay numerosas Qs en varios Stacks al respecto. La alternativa más simple es reemplazar el enfoque innecesariamente complicado (copiado de acuerdo con su Q anterior) con un solo comando openssl para generar la clave Y el certificado juntos:

     openssl req -newkey rsa:2048 -keyout server.key -x509 -days 365 -out server.crt 
     # and enter the Subject fields interactively, or add -subj with value per the man page
     # can adjust -days as desired, add -nodes if you want privatekey unencrypted 
     # if openssl version below 1.0.2 preferably add -sha256
     # although browsers _probably_ ignore this as the selfsignature 
     # is only needed to fit the standard format and not for security

pero primero edite su archivo de configuración (o, por lo general, edite una copia del mismo y especifique esa copia con -config filename ), agregando en la sección x509_extensions una línea subjectAltName=DNS:yourdomainname . Si no sabe dónde está su archivo de configuración predeterminado, verifique si envvar OPENSSL_CONF o OPENSSLDIR está configurado y, si no, busque openssl version -d para openssl.conf .

Tanto para CommonName como para SAN, el nombre de dominio del servidor en el certificado NO debe incluir: puerto como lo tiene en su Q. Aunque: el puerto a veces es parte de una URL, no es parte de un nombre de dominio, o por lo que respecta a una dirección IP.

respondido por el dave_thompson_085 02.07.2017 - 10:42

fuente

Lea otras preguntas en las etiquetas tls certificates firefox

¿Puedo descartar una clave privada y usar la clave pública como una función hash? ¿Qué causaría un escaneo de puertos a un servidor de correo electrónico en una oficina?

score 1 · Accepted Answer

La razón por la que Firefox se está quejando es porque es un certificado autofirmado. Los certificados autofirmados son intrínsecamente inseguros en cuanto a que no puede verificar que el servidor es quién o qué afirma, consulte esto pregunta anterior para una explicación más larga de por qué. No significa que los datos no estén encriptados, lo está.

Además, debe usar RSA de 2048 bits, no 1024. 1024 ya no se considera seguro ("Nuestros resultados son otro recordatorio de que los números primos de 1024 bits se deben considerar inseguros para la seguridad de los sistemas criptográficos en función de la dureza de los dispositivos discretos logarithms ", consulte este documento ).