![有效的 SSL/TLS 证书必须包含“客户端身份验证”目的 (OID 1.3.6.1.5.5.7.3.2) 吗?](https://linux22.com/image/789646/%E6%9C%89%E6%95%88%E7%9A%84%20SSL%2FTLS%20%E8%AF%81%E4%B9%A6%E5%BF%85%E9%A1%BB%E5%8C%85%E5%90%AB%E2%80%9C%E5%AE%A2%E6%88%B7%E7%AB%AF%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E2%80%9D%E7%9B%AE%E7%9A%84%20(OID%201.3.6.1.5.5.7.3.2)%20%E5%90%97%EF%BC%9F.png)
换句话说,我们 CA 颁发的 SSL 证书缺少“客户端身份验证”目的是否是其不被浏览器信任的原因?
如果是这样,如何在 CSR(证书签名请求)中或在 AD CA(Active Directory 证书颁发机构)中颁发证书期间添加该目的/ OID?
我问的原因是:
我查看过的大多数有效 (受信任) SSL 证书,包括 outlook.com:
... 有两个“目的”/扩展密钥使用字段值/OID 列出,“客户端”和“服务器”:
TLS WWW Server Authentication (OID.1.3.6.1.5.5.7.3.1)
TLS WWW Client Authentication (OID.1.3.6.1.5.5.7.3.2)
NET::ERR_CERT_COMMON_NAME_INVALID
...而我使用的本地根 CA 颁发的无效(错误) SSL 证书试图去上班,有一个“服务器”,但没有“客户端”:
当然,一些有效的 SSL 证书(例如 gmail.com 和 google.com)也只有服务器身份验证目的/OID,而没有“客户端”目的。我只是想排除这是导致我的 SSL 证书不受信任的可能原因。
谢谢!
PS:自签名(而非本地 CA 颁发的)SSL 证书在相关内联网站点上运行(受信任),因此问题不在于 IIS 或绑定。相反,问题在于其中一个证书或信任链 - 我只是不确定如何解决此问题。