Hacer que un certificado de Windows diga que su propósito es "Asegura la identidad de una computadora remota"

Si pudiera usar OpenSSL, simplemente agregaría las siguientes líneas a openssl.conf:

keyUsage = digitalSignature
extendedKeyUsage=serverAuth

pero no sé cómo agregar extendedKeyUsage en PHPSecLib

TL;DR

Compre un certificado de Verisign, Comodo, etc. y se asegurarán de que siempre obtenga un certificado que funcione para la navegación web.

Parte 1: "No hay suficiente información para verificar"

Parece que este es un certificado autofirmado generado por PHP. En realidad dice que fue emitido por "alguien". A menos que "alguien" sea un certificado legítimo que desee implementar en cada computadora (poco probable), obtendrá este error.

Inicie el administrador de certificados y mire los certificados de "raíz confiable" de Windows para su cuenta de usuario y de la máquina (hay dos lugares para verificar). En esa carpeta (raíz de confianza) que representa todas las CA que son válidas para su sistema. Agregar certificados aquí significa que confía en ellos para controlar la seguridad de su computadora, y eliminarlos significa que no confía en ellos. No recomiendo cambiar esto y dejarlo en manos de personas con experiencia en PKI para agregar y eliminar el contenido de esta carpeta.

De lo contrario, consulta enlace para obtener más información relacionada con PKI que te enseñará cómo no dispararte en el pie.

Parte 2: "Todas las políticas de aplicación"

La sección que dice "Todas las políticas de aplicación" incluye "Asegurar la identidad de una computadora remota".

Si desea tener un certificado más restringido (algo bueno), debería hacer que su aplicación PHP (phplib demo cert) vaya a una CA de confianza y use la plantilla de certificado adecuada.

La forma en que lo hagas depende de:

• qué utilidad genera el certificado (PHP en este caso)
• Qué CA utiliza (es una CA pública para uso de todas las personas o solo en su entorno corporativo)
• Detalles específicos de CA: cómo restringir los certificados emitidos para que solo tengan los usos clave que especifique.

Aquí hay una sugerencia, la pestaña general no muestra mucha información importante. Haga clic en "Detalles" y observe el uso de la clave y el uso mejorado de la clave. Le darán no solo el texto amigable que está buscando, sino también los OID que probablemente necesitará para que su CA interna emita el certificado correcto.

La razón por la que tiene este problema es porque está abriendo un certificado genérico X.509.

Microsoft requiere un certificado PKCS7 que incluya las CA firmantes. Si no tiene los certificados públicos firmantes en el certificado (sin importar si los certificados públicos firmantes se encuentran en su tienda de certificados local) se considerará ilegítimo.