![OS X 不信任 Thawte Primary Root CA - G3](https://linux22.com/image/642369/OS%20X%20%E4%B8%8D%E4%BF%A1%E4%BB%BB%20Thawte%20Primary%20Root%20CA%20-%20G3.png)
我们最近更新了 Nginx 网络服务器的 Thawte SSL 证书。以前我们一直使用 SHA1 作为签名算法,但这次使用了 SHA256,这会导致出现一个新的根证书,称为“thawte Primary Root CA - G3”(可以在他们的网站上找到 - 没有足够的声誉来发布链接)。
自推出以来,我们开始接到使用 OS X 的客户的电话,称在浏览 https 页面时收到错误“此证书由未知机构签名”。
Thawte 的证书检查器对我们安装的证书链非常满意:https://ssltools.thawte.com/checker/views/certCheck.jsp (我们有我们的证书,加上 pem 文件中的“thawte Extended Validation SHA256 SSL CA”中间件)
经过测试,我们发现在 OS X 操作系统的所有版本上,Safari、Opera 和 Chrome 都会出现错误。Firefox 在 OS X 下没有问题(我相信它附带了自己的证书信任存储)。所有浏览器在 Windows 下似乎都没有问题。
当我们检查 OS X Access Keychain 时,我们发现 thawte Primary Root CA - G3 已经安装,但不知何故浏览器无法完成该链。
这是一个使用相同中间体和根的测试站点(不是我们的),它在 OS X 下表现出完全相同的症状:
有人能解释一下为什么当此站点的根 CA 默认安装在 OS X 10.9 的访问钥匙串中时,OS X 无法将其识别为受信任的吗?
答案1
刚刚通过聊天与 Thawte 支持人员进行了交谈,他们确认这是一个问题,并且 Apple 已就此问题展开了调查(自 2014 年 7 月 31 日起)。目前尚无回复/修复预计时间。
答案2
2014 年 9 月 17 日,主根 CA - G3(中间带有 SHA-256 签名)仍然未被最新的 Mac 操作系统接受。
Thawte 提交了 Apple Bug 编号 17095623,以便他们修复此问题。