Dotaz: Více webů s HTTPS (SNI) na NGINX označeno jako nedůvěryhodné

[bartama]

Zdravím,
už několik dní to řeším ale bohužel bez výsledků.
Mám na serveru (CentOS 6.5) instalovaný NGINX a samozřejmě je tam TLS SNI support enabled i --with-http_ssl_module

Podle těchto informací mám v pohodě podporu TLS SNI a mělo by tak být možné na jedné IP adrese v pořádku hostovat několik webů na HTTPS (ostatně na Apache s tím problém nemám). Tady je ještě pro jistotu konfigurák jednoho z webů.

server {
listen 80;
listen [::]:80;
server_name xxxxxx;
return 301 https://$server_name$request_uri;
}
server {
listen 443 ssl spdy;
listen [::]:443 ssl spdy;
server_name xxxxxx;
ssl on;
ssl_certificate /var/www/ssl/xxxxxx/nginx_ServerCertificate.crt;
ssl_certificate_key /var/www/ssl/xxxxxx/xxxxxx.key;
ssl_session_cache shared:SSL:1m;
ssl_session_timeout 5m;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
location / {
root /usr/share/nginx/html/xxxxxx;
index index.php index.html index.htm;
}
location ~ \.php$ {
root /usr/share/nginx/html/xxxxxx;
fastcgi_pass 127.0.0.1:9000;
fastcgi_index index.php;
fastcgi_param SCRIPT_FILENAME /usr/share/nginx/html/xxxxxx$fastcgi_script_name;
include fastcgi_params;
}
}

Bohužel ale stále pouze jeden z těch webů je prohlížečem brán jako důvěryhodný a ostatní označeny jako nedůvěryhodné (předpokládám, že to ten první z konfigurace vybere jako ten který má vše v pohodě s IP a tedy jako standardní konfiguraci pro jeden web).

Nemáte s tímto zkušenost popřípadě radu na co se zaměřit? Už jsem docela bezmocný. Díky za každou radu.

Odpovědi

[Filip Jirsák]

Nenapsal jste ani adresy těch webů, ani prohlížeč, ani co přesně ten prohlížeč hlásí. Takže se dost těžko radí. Je divné, že by prohlížeč web označil jenom jako nedůvěryhodný, pokud by mu byl předložen certifikát pro jiný web. Za nedůvěryhodnou označují prohlížeče stránku, pokud je stažena přes HTTPS, ale jsou do ní vloženy prvky (třeba skripty) nahrávané přes HTTP. Nebo také nově prohlížeče označují za nedůvěryhodné stránky, které v certifikační cestě mají certifikáty se slabým klíčem.

[Jendа]

radu na co se zaměřit?

A něco tak jednoduchého, jako podívat se, jaký certifikát ti server skutečně posílá, tě nenapadlo?

[lertimir]

Filip napsal většinu důvodů, proč je certifikát odmítnut. Odhaduji, že nejčastější důvod u amaterských správců je to, že nemají pro každý virtuální web certifikát pro to konkrétní doménové jméno webu, takové, které má oveřenou hierarchii certifikačních autorit k některé povolené.