Windows 中自签名 CA 的 NET::ERR_CERT_AUTHORITY_INVALID

2024-6-1 • tag-icon

Windows 中自签名 CA 的 NET::ERR_CERT_AUTHORITY_INVALID

我使用自己用 Java 开发的系统创建了一个（自签名）根证书并签署了一个 Web 服务器证书（该 Web 证书用于 Apache 2.4.41）。

证书在 Linux 和 Mac 上均可正常运行（已在不同的 Webkit 浏览器和 Firefox 中测试）。证书和服务器设置得分A+使用测试sl.sh。

CA 证书已正确安装且没有任何警告，但在 Windows 中未被接受（仍然显示红色三角形警告和错误NET::ERR_CERT_AUTHORITY_INVALID）（使用 2 台 Windows 10 设备进行测试，其中一台是全新安装的）。在 Chrome、Edge 和 Firefox 中进行了测试。

我尝试了很多方法：

certlm.msc使用、、或双击文件certutil.exe来安装它们settings
本地或用户范围
使用不同的设置重新生成根证书
更改 Apache 设置
重新启动浏览器和电脑
停止防病毒软件

我已经阅读了该网站中的相关问题（似乎都没有解决该问题）并且我也在其他网站上寻找解决方案，但没有成功。

这是一个伪造的由同一系统生成的 CA 证书（使用相同的设置，但为了减小本文的大小，此处的密钥长度为 1024）：

密钥和证书：

CA 摘要

Version: 3
         SerialNumber: 6873848332899071428
             IssuerDN: CN=Fake Authority,C=US,ST=CA,L=LA,O=Example LTD,OU=None,[email protected]
           Start Date: Thu Nov 11 06:06:53 JST 2021
           Final Date: Fri Nov 11 00:00:00 JST 2022
            SubjectDN: CN=Fake Authority,C=US,ST=CA,L=LA,O=Example LTD,OU=None,[email protected]
           Public Key: RSA Public Key [b8:07:ef:1f:8e:91:c0:ab:12:db:38:3f:76:e7:0a:7f:21:9d:fe:49],[56:66:d1:a4]
        modulus: 983fc7e042334c460e2682a9ce61fbcdf0ae367f1d5c5a67b1872bb83fb1c6b87ef175290b800eac7e8837de8713696798428e602c8018169086dc13431dfc2eacad24564b8fc47a800f4601492b693948d0b42f54082340ca734c52ef2f4246a7283c5594b7b9dc51ebb04591a60cc61b362a9c6a68230967e720f441ee4815
public exponent: 10001

  Signature Algorithm: SHA256WITHRSA
            Signature: 610d8fbef7d049ef56b46ea9789e01e766c6d4cc
                       ec53e8c4f71738a1611fbde924a633a467875b93
                       cf6005578066c4b175f7dc41f14fc91284f6fb9b
                       62b77dc6e7a6500184e7567232a25631ac05471b
                       57755d5ee9ad4e4c7d6a2a4b3ad686f0b51b9104
                       ec1ea145b82ab3928022c1dd58665ca55e609895
                       869bc90b1ce2fcc2
       Extensions: 
                       critical(true) BasicConstraints: isCa(true)
                       critical(true) KeyUsage: 0x6
                       critical(false) 2.5.29.14 value = DER

服务器证书

证书摘要

Version: 3
         SerialNumber: 6648705147606043571
             IssuerDN: CN=Fake Authority,C=US,ST=CA,L=LA,O=Example LTD,OU=None,[email protected]
           Start Date: Thu Nov 11 06:08:37 JST 2021
           Final Date: Fri Nov 11 00:00:00 JST 2022
            SubjectDN: CN=fake.example.com,C=US,ST=CA,L=LA,O=Example LTD,OU=None,[email protected]
           Public Key: RSA Public Key [2e:cd:8e:16:02:6f:b3:27:16:01:21:cb:1a:2b:9b:27:18:71:86:87],[56:66:d1:a4]
        modulus: 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
public exponent: 10001

  Signature Algorithm: SHA256WITHRSA
            Signature: 88dd18b477a5ba113a2145a18a2d2a87e520dfff
                       f8340bdb76ae9da8c7ca68063b803253c7b519fa
                       6df302eb122cab39e30d86529e2d9810c7fa6012
                       e2be299ba3dad80b5f04fc8e6ee4ab2abc86becd
                       ee5565de54ecef3ee3ef1469ff91fd17b881d7fb
                       789de3d3688fe1df3029ebdf51f0fc55cb9d771f
                       66ad6aa5b8211929
       Extensions: 
                       critical(true) BasicConstraints: isCa(false)
                       critical(false) 2.5.29.35 value = Sequence
    Tagged [0] IMPLICIT 
        DER Octet String[20] 

                       critical(true) KeyUsage: 0xa8
                       critical(false) 2.5.29.17 value = Sequence
    Tagged [1] IMPLICIT 
        DER Octet String[16] 
    Tagged [2] IMPLICIT 
        DER Octet String[16] 
    Tagged [2] IMPLICIT 
        DER Octet String[20] 

                       critical(false) 2.5.29.14 value = DER

我的设置有什么问题？

答案1

问题中发布的证书有两个问题：

两个证书都使用一个共享密钥。由于证书应将密钥与其所有者（主体）绑定，因此对两个主体使用一个密钥确实毫无意义。
因此，两个证书中的主题密钥标识符和权威密钥标识符哈希是相同的。

请注意，最终实体证书中还有一个相当复杂的授权密钥标识符。通常这里只包含哈希值，直接从颁发 CA 证书的主题密钥标识符复制而来。也就是说，省略目录和序列条目。您拥有的可能有效，但为什么要冒这个险呢？

答案2

由您自己的虚构证书颁发机构签名的证书始终会抛出错误，因为您的系统不信任该 CA。要获得绿色锁，您必须将证书颁发机构的自签名证书添加到机器上受信任的根证书颁发机构存储中。

即使您在自己的机器上信任虚构的 CA，互联网上的其他机器也不会信任该 CA 签名的证书。如果您希望其他机器信任您的证书，您必须向合法的证书颁发机构付费，让他们为您签名证书。

如果您的 CA 已在受信任的根 CA 中正确安装，并且您的实际密钥长度为 1024，则它可能太弱而无法信任。尝试使用至少 2048 的长度重新生成它，因为浏览器时不时会弃用较短的密钥长度。

密钥和证书：

CA 摘要

服务器证书

证书摘要

答案1

答案2

相关内容