Mac OS X: los certificados firmados por una empresa de confianza CA no se pueden verificar

0

Estoy intentando configurar un llavero en Apache Tomcat que contiene un certificado de servidor que fue firmado por un certificado de ca de raíz personalizado. (No estoy seguro de si la palabra correcta es costumbre, pero es un certificado raíz que yo mismo creé y en el que quiero confiar). La idea detrás de esto es que todos los certificados firmados por esta CA deben considerarse de confianza.

Aquí están los pasos que hice

Crear el certificado raíz (en el que confiaré en mi llavero)

openssl req -new -x509 -sha512 -extensions v3_ca -keyout private/cakey.pem -out cacert.pem -days 365 -config ./openssl.cnf

Crear una clave de servidor y una solicitud de firma de certificado

openssl req -new -nodes -sha512 -out name-req.pem -keyout private/name-key.pem -days 365 -config ./openssl.cnf

Firme la solicitud con la CA creada en el paso 1 y genere un certificado

openssl ca -out name-cert.pem -days 365 -config ./openssl.cnf -infiles name-req.pem

Crea el archivo PKCS12

openssl pkcs12 -sha512 -export -in name-cert.pem -inkey private/name-key.pem -certfile cacert.pem -name "[friendly name]" -out name-cert.p12

Configure un almacén de claves PKCS12 para Tomcat

openssl pkcs12 -export -in name-cert.pem -inkey private/name-key.pem -out mycert.p12 -name tomcat -CAfile cacert.pem -caname root -chain

He instalado correctamente el almacén de claves en Tomcat y puedo acceder al conector HTTPS

Instalé el certificado de CA en mi llavero donde está marcado como de confianza para todos los usuarios.

Sinembargo,cuandoaccedoalapáginamedianteunnavegador(Firefox/Safari)todavíaestoyviendoesto:

¿Por qué es que este certificado (emitido por "CA" y "CA" es un certificado marcado como de confianza para todos los usuarios) sigue arrojando un error?

    
pregunta ddewaele 01.11.2014 - 19:28
fuente

1 respuesta

1

No hay muchos detalles sobre su certificado en sí mismo, pero asumo que se está conectando a una dirección IP y está tratando de usar la dirección IP como el nombre común dentro del certificado. Por lo que sé, esto no es compatible con Safari. En su lugar, requiere que las direcciones IP se especifiquen dentro de la sección SAN (nombres alternativos del sujeto) del certificado como tipo IP.

Lo que significa que esto no es un problema de la CA, sino un problema del certificado en sí mismo.

Consulte también enlace y también RFC2818 :

  

En algunos casos, el URI se especifica como una dirección IP en lugar de una      nombre de host En este caso, el iPAddress subjectAltName debe estar presente      en el certificado y debe coincidir exactamente con la IP en el URI.

    
respondido por el Steffen Ullrich 01.11.2014 - 21:10
fuente

Lea otras preguntas en las etiquetas