Dotaz: Podivné SSL_ERROR_BAD_CERT_DOMAIN

[Milan Uhrák]

Zdravím, Ve Firefoxu jsem otevřel náš interní server, CA samopodepsaná atd ... a dostal jsem hlášku, ze které nejsem chytrý. Vadí Firefoxu žolíky v DNS ?

Webové stránky prokazují svou totožnost pomocí certifikátů. Firefox nemůže server ncl.zendc.jp.firma ověřit, 
protože je použitý certifikát platný pouze pro následující doménová 
jména: jednota.podborany.cz, *.jp.firma, *.jednota.podborany.cz, *.zendc, *.zendc.jp.firma

Kód chyby: SSL_ERROR_BAD_CERT_DOMAIN

Nebo je chyba někde jinde a její popis je matoucí ? CA ve firefoxu mám, jako důvěryhodnou. Děkuji za nápomoc.

---

---

Odpovědi

[Max]

Buď špatně opisuješ jména a někde tam máš chybu, nebo na ten server lezeš přes IP a né jméno.
Zdar Max

[Milan Uhrák]

Ahoj, to je právě divné, hláška je copy+paste, a na server lezu právě tím jménem, které je v hlášce. První pokus byl zadat název bez https ( vhost má rewrite rule na https ).

<VirtualHost *:80>
   ServerName ncl.jednota.podborany.cz
   ServerAlias ncl.zendc.jp.firma ncl.zendc
   RewriteEngine On
   RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R=301,L]
</VirtualHost>

Ale ani když zadám přímo https://ncl.zendc.jp.firma, tak to certifikát nechce přijmout ..

ještě mně napadlo vyhodit z certifikátu *.zendc nebo posunout jej na konec, ale dostanu se k tomu až ráno.

M.

[debian+]

Bude hlasit chybu, lebo certifikat nemas podpisany autoritou. Ak nemas zaujem o Let's Encrypt, potom musis vystavit si svoju sebe vlastnu certifikacnu autoritu a doinstalovat si ju do systemu, ze je doverihodna. Alebo doklikat vo Firefoxe ze pridat vynimku a Firefox bude vediet, ze je to ok (ak si pripadne overit certifikat).

https://www.digmia.com/sk/blog/co-je-ssl-certifikat-preco-ho-mal-mal-aj-vas-web/. Casto je pre bezneho pouzivatel SSL a TSL to iste - tj. https v nazve URL

[bigBRAMBOR]

ano, jsi mimo a pritom staci precist si dotaz.

[Milan Uhrák]

Kdyby byl problém c podpisem, tak byřval "SSL_UNKNOWN_ISSUER", což mi dělal na čistém profilu, než jsem mu přidal certifikát naši CA .

Po přidání se mu nelíbí cesta, to je myslím z popisu chyby vidět. Bohužel, zvenčí je cesta jiná, zkoušel jsem to jen přes mobilní firefox, ale tam to chybu nehlásí. Ještě zkusím vykastrovat ten certifikát, a uvidíme. A ten tvůj odkaz už vůbec nechápu, co má společníého s tématem ...

[Milan Uhrák]

V tom případě mně ještě napadá, zda v tom certifikátu máš všechny ty názvy v SubjectAltName.
Zdar Max

[Milan Uhrák]

Myslím, že ano. popis chyby to ukazuje. To je právě to divné. zkus https://jednota.podborany.cz:44443 .. je tam jen apačí default, ale stejný certifikát. přesměrování na shorewallu na patřičný server a port.

Zkoušel jsem i https://www.ssllabs.com/index.html tam jim vadí ten port, takže nic. Neexistuje nějaký nástroj, který bych mohl spustit lokálně třeba z Backtracku nebo tak ? Jsem v tomto ohledu nezkušený.

A děkuji za pomoc

[j]

Dej si co CN dns nazev (asi nejlip ten, kterej to pouziva zvenku), mozna se retardovanym soudruhum z chrozilly nelibi, ze tam mas jen zdcserver.

Tuhle ti to projde OK https://www.sslshopper.com/ssl-checker.html#hostname=https://jednota.podborany.cz:44443/

Ovsem mnohem jednodussi by bylo soudruhy z chrozilly proste terminovat, proc pouzivat nepouzitelnej krap?

[Milan Uhrák]

OpenSSL je spokojené:

$ openssl s_client -connect jednota.podborany.cz:44443 -CAfile ca -partial_chain -verify_hostname ncl.zendc.jp.firma
[...]
SSL handshake has read 3999 bytes and written 415 bytes
Verification: OK
Verified peername: *.zendc.jp.firma

Jediné, co mi přijde neobvyklé, je Netscape Cert Type: SSL Server. Dnes se používá atribut ExtendedKeyUsage. Já bych to tipoval na nějakou chybu nebo odlišnost v knihovně NSS, kterou Firefox používá. Kdyby si nám sem hodil kořenový certifikát, tak by to třeba někdo mohl i zreprodukovat.

Cvičně jsem si naimportoval ten mezilehlý certifikát do svého Firefoxu 70.0.1 s NSS 3.47.1 a funguje mi to. Nepoužíváš takhle náhodou Windows s nějakým „antivirem“, který unáší TLS spojení a který neumí pořádně wildcard certifikáty?

[Milan Uhrák]

kořenový certifikát je na stejné adrese bez portu a https ... Pokud použiješ IE tak uvidíš i certifikát CA.

[vencour]

Nic ve zlym, FQDN jednota.podborany.cz je na IP 46.29.230.162 a CN v certifikátu je "zdcserver". CN má být část FQDN.

[j]

fakt? A od kdy? To by me zajimalo soudruhu, jak bys to chtel udelat, kdyz ma stroj 10 ruznych nazvu v 10 tuznych tld.

The hostname (jednota.podborany.cz) is correctly listed in the certificate.

[vencour]

Příloha:

• jednota-cn-zdc-20191219.png (108736 bytů)

Píšu o CN jako o chybě ...
Pokud se teda bavíme o URL https://jednota.podborany.cz:44443/

[petr_p]

FQDN do CN se nemá uvádět už od RFC 6125, což bude tak deset let.

[Filip Jirsák]

Tak přátelé, brainstorming byl velmi užitečný. Jeden nápad, který jsem dostal už včera a dnes teprve teď jsem měl čas vyzkoušet bylo odebrání "*.zendc" z subjAltNames certifikátu. (vypadá to jako žolíkovaná doména prvního řádu .. no )

Taky jsem při té příležitosti ( dle rady jiného kolegy ) nastavil extended key usage na http server ...

Takže ve výsledku nevím, který z těchto zásahů byl ten "pravý", ale spolu už přestali Firefoxu vadit.

Děkuji všem za vír nápadů a rad, záležitost jsem (i) díky vám nakonec vyřešil.

M.

Všechny odpovědi, které alespoň částečně pomohli odměním "řešením"

[bigBRAMBOR]

a nemas chut to jeste vyzkouset at je jasno? ten stary cert s *.zendc prece jeste mas, tak to jde zkusit za minutu

[petr_p]

Existuje Public Suffix List, cože je samozvaný seznam doménových jmen, které jsou administrativně nezávislé. Celé to slouží k tomu, aby někdo nemohl vydat certifikát například pro *.cz. Je docela možné, že Firefox obsahuje/obsahoval při kontrole doménových jmen proti tomuto seznamu chybu (příklad) a efektivně tak znemožňuje použití certifikátů s žolíkem na druhé úrovni pod neveřejnou doménou (váš případ).