Dotaz: Platnost SSL certifikátu dvě (tři) data

[majales]

Zdravím,

Řeším rozpor v zjištění platnosti EV certifikátu. V závislosti na použitém nástroji se mi zobrazí celkem tři různá data.

V prohlížečích Chrome 66.0.3359.181 a Firefox 59.0.3 se zobrazí datum konce platnosti:

15. září 2018.

Pomocí "openssl x509 -noout -in certfile.crt -dates" se objeví toto:

notAfter=Sep 14 23:59:59 2018 GMT

a pomocí "/usr/lib/nagios/plugins/check_http -H host -S -C 25,5" se ojeví zase tohle:

OK - Certificate '*.host' will expire on Sun 15 Jul 2018 12:59:00 AM CEST

a ještě pomocí openssl sclient ( openssl s_client -servername NAME -connect host:443 2>/dev/null | openssl x509 -noout -dates) se objeví toto

notBefore=Jun  9 00:00:00 2017 GMT
notAfter=Jul 14 23:59:59 2018 GMT

Co je tedy správně a proč se objevují dvě (tři) různá data ukončení platnosti? Přičemž mezi nejbližším a nejzazším datem jsou dva měsíce? (15. červen a 15. září)

---

---

Odpovědi

[alkoholik]

Jsi si stoprocentne jisty, ze to je stejny certifikat? Rekl bych, ze tam mas dva ruzne a ne/montuje se ti do toho SNI.
Druhy rozdil je samozrejme dany casovou zonou.

[majales]

Určitě jsem si jistý CN z certifikátu který zobrazuje prohlížeč je stejné jako server_name v konfiguraci nginxu. Když to zredukuji a budu ověřovat jen pomocí připojení k SSL stránce, tak pokud to ověřím v prohlížeči tak je tam 15.9.2018, když to ověřím pomocí openssl s_client ( openssl s_client -servername NAME -connect host:443 2>/dev/null | openssl x509 -noout -dates ) tak je tam 15.7.2018.

[rastos]

Čo tak porovnať fingerprint?

[Filip Jirsák]

Tak už je to jasné.. v nginx je jednou *.doména.cz a jednou www.doména.cz. Pro www.doména.cz je EV certifikát a pro *.doména.cz je wildcard certifikát. Při openssl s_client se z nějakého důvodu zavolá ten *.doména.cz wildcart cert. Každopádně ten wildcard vyprší právě toho 15.7.2018..

[Jendа]

Při openssl s_client se z nějakého důvodu zavolá ten *.doména.cz wildcart cert.

-servername www.doména.cz (HTTPS SNI)