Certificado SSL inválido no Chrome

Para o site scirra.com ( clique nos resultados dos testes do SSL Labs Server ), o Google Chrome reporta o seguinte ícone:

Digite a descrição da imagem aqui

É um SSL EV, e parece funcionar bem no Firefox e no Internet Explorer, mas não no Chrome. Qual é a razão para isto?

ssl chrome ssl-certificate

— Tom Gullen
fonte

Na verdade, se referindo sites não é uma boa prática, talvez se você iria pagar o seu custo de publicidade para a empresa SE ...

— peterh - Reintegrar Monica

@PeterHorvath Não seria válido incluir o domínio para uma pergunta como essa? Como poderíamos determinar a causa do problema sem investigar o certificado real? No entanto, sugeri uma edição com o domínio em texto simples e um link para o Qualys SSL Server Test.

— Paul

@ Paul Isso é porque eu só o avisei e não fiz mais nada. E agora eu até votei na pergunta dele porque acho que merece isso. Normalmente, durante as revisões, se encontrarmos um link externo, ele precisará ser examinado se não for uma "jóia escondida" ou algo parecido. É muito melhor se o URL vier de um site conhecido (imgur, jsfiddle, etc.).

— peterh - Restabelece Monica

Observe que a Mozilla também eliminará os certificados SHA-1 .

— um CVn 28/01

Eu imagino que todos os navegadores do mercado estarão desativando o SHA-1. O Google assumiu a liderança.

— taco

Respostas:

O que você vê agora não é a "barra de endereço verde" que você esperaria com um certificado EV, mas o seguinte:

insira a descrição da imagem aqui

O motivo disso é o seguinte anúncio no blog do Google Online Security :

Sabe-se que o algoritmo de hash criptográfico SHA-1 é consideravelmente mais fraco do que foi projetado para ser desde pelo menos 2005 - 9 anos atrás. Os ataques de colisão contra o SHA-1 são muito acessíveis para que possamos considerá-lo seguro para a PKI da web pública. Só podemos esperar que os ataques fiquem mais baratos.

É por isso que o Chrome iniciará o processo de desativação do SHA-1 (usado nas assinaturas de certificado para HTTPS) com o Chrome 39 em novembro. ... Sites com certificados de entidade final que expiram entre 1 de junho de 2016 e 31 de dezembro de 2016 (inclusive) e que incluem uma assinatura baseada em SHA-1 como parte da cadeia de certificados, serão tratados como "seguros, mas com menos erros ”.

O "seguro, mas com erros menores" é indicado pelo sinal de aviso no cadeado e as configurações de segurança desatualizadas na mensagem estendida são o fato de o certificado depender do algoritmo de hash SHA-1.

O que você precisa fazer é o seguinte:

Gere uma nova chave privada com um hash SHA-256 e uma nova Solicitação de Assinatura de Certificado (CSR) e peça ao seu provedor SSL para emitir novamente um novo certificado. Com os certificados EV, uma reemissão normalmente exige mais ou menos os mesmos obstáculos que você teve que passar para obter o certificado inicialmente, mas você deve obter um novo certificado válido até a mesma data de validade do certificado atual sem nenhum custo adicional.

No openssl, você usaria algo como a seguinte linha de comando:

openssl req -nodes -sha256 -newkey rsa:2048 -keyout www.scirra.com.sha256.key -out www.scirra.com.sha256.csr

— HBruijn
fonte

Percebi nos Resultados do teste do SSL Labs Server que a assinatura do servidor HTTP é Microsoft-IIS / 7.5. Eu não usei nenhum dos produtos de servidor da Microsoft, por isso não tinha certeza se o seu opensslcomando é a opção para esse usuário.

— Paul

Você não precisa gerar uma nova chave. Você pode apenas obter um novo certificado para sua chave atual, conforme mostrado na resposta da taco. Porém, isso não importa, exceto pela queima de alguns ciclos da CPU, gerando números primos.

— Matt Nordhoff

Isso ocorre por causa do plano de desativação do Google para o SHA-1 .

Não há preocupação de segurança imediata.
SHA-2 é o atual algoritmo de hash recomendado para SSL. Nenhuma violação de certificados usando SHA-1 foi relatada.
A exibição de indicadores de interface do usuário degradados no Chrome 39 e posterior faz parte do plano de descontinuação do SHA-1 do Google e será aplicada a todas as autoridades de certificação (CAs).
A interface do usuário degradada será visível apenas pelos usuários do Chrome 39 e versões posteriores, e não antes. Entre em contato com o fornecedor do SSL depois de o sysadmin localizar sua chave privada existente (no servidor da web) e eles executarão uma reemissão do certificado com SHA-2 gratuitamente. Você precisará de um novo CSR.

A seguir, será criado um novo CSR no OSX / Linux se o OpenSSL estiver instalado (consulte os campos existentes do certificado SSL, pois o domínio (também conhecido como "Nome comum") precisa permanecer o mesmo:

Linux / OSX:

openssl req -new -sha256 -key myexistingprivate.key -out newcsr.csr

Para Windows, consulte este artigo do TechNet .

Nesse ponto, pode ser necessário entrar em contato com o fornecedor para obter ajuda, se você não encontrar uma opção de reemissão através do portal SSL. O site da Comodo analisa detalhadamente como fazer isso, se essa informação não for suficiente para você.

Depois que o certificado SHA-2 for instalado, isso eliminará o "problema" que você vê no Chrome.

— taco
fonte

Você precisa do certificado SHA2 para fazê-lo desaparecer. Mais informações sobre Gradualmente pôr do sol SHA-1

— rumburak
fonte

O SSL Labs relata corretamente meu site como ainda tendo um certificado SHA1, mas não possui os mesmos avisos no Chrome. No entanto, o SSL Labs relata que o scirra.com tem muitos outros problemas, incluindo SSL 3, RC4 e nenhum FS. Eu suspeito que não é apenas que o certificado seja assinado usando o SHA1, mas também que sua data de validade é posterior ao pôr do sol do SHA1 (2016).

— Paul

@Paul que está incluído no link.

Sites with end-entity certificates that expire on or after 1 January 2017, and which include a SHA-1-based signature as part of the certificate chain, will be treated as “neutral, lacking security”.

— faker

Os sites do @faker SE desaprovam respostas ou perguntas que dependem de informações nos links. As informações relevantes devem ser incluídas. Na verdade, eu iria tão longe a ponto de afirmar que esta resposta é tecnicamente incorreto, pois o usuário pode resolver o problema usando um certificado SHA1 que expira antes de 2016.

— Paul

@ Paul justo o suficiente, mas você disse que suspeita que esse seja o motivo. Eu só estava esclarecendo ...

— faker

Veja como eles fazem as coisas no Stack Overflow . Essa é uma resposta muito melhor que a sua.

— Paul