Certificat SSL auto-signé invalide - "Subject Alternative Name Missing" (Nom alternatif du sujet manquant)

Question

Récemment, Chrome a cessé de fonctionner avec mes certificats SSL auto-signés, et pense qu'ils ne sont pas sûrs. Lorsque je regarde le certificat dans le DevTools | Security Je peux voir qu'il est écrit

Subject Alternative Name Missing Le certificat de ce site ne contient pas d'ex pas d'extension Subject Alternative Name contenant un nom de domaine ou une adresse ou une adresse IP.

Erreur de certificat Il y a des problèmes avec la chaîne de certificats du site (net::ERR_CERT_COMMON_NAME_INVALID).

Comment puis-je réparer cela ?

Answer 1

Pour résoudre ce problème, vous devez fournir un paramètre supplémentaire à l'option openssl lorsque vous créez le certificat, en gros.

-sha256 -extfile v3.ext

où v3.ext est un fichier comme celui-ci, avec %%DOMAIN%% remplacé par le même nom que celui que vous utilisez pour votre Common Name . Plus d'informations ici et par ici . Notez qu'en général, vous définissez l'option Common Name et %%DOMAIN%% au domaine pour lequel vous essayez de générer un certificat. Donc, si c'était www.mysupersite.com alors vous l'utiliserez pour les deux.

v3.ext

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = %%DOMAIN%%

Remarque : les scripts qui traitent de cette question, et créer des certitudes ssl entièrement fiables à utiliser dans Chrome, Safari et à partir de clients Java peut être trouvé ici

Une autre note : Si tout ce que vous essayez de faire est d'empêcher chrome de lancer des erreurs lors de l'affichage d'un certificat auto-signé, vous pouvez indiquer à Chrome d'ignorer toutes les erreurs SSL pour TOUS les sites en le démarrant avec une option de ligne de commande spéciale, comme détaillé ici sur SuperUser

Answer 2

La solution suivante a fonctionné pour moi sur chrome 65 ( réf. ) -

Créer un fichier de configuration OpenSSL (exemple : req.cnf)

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
C = US
ST = VA
L = SomeCity
O = MyCompany
OU = MyDivision
CN = www.company.com
[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = www.company.com
DNS.2 = company.com
DNS.3 = company.net

Créer le certificat en faisant référence à ce fichier de configuration

openssl req -x509 -nodes -days 730 -newkey rsa:2048 \
 -keyout cert.key -out cert.pem -config req.cnf -sha256

Answer 3

La question

Comme d'autres l'ont mentionné, le NET::ERR_CERT_COMMON_NAME_INVALID L'erreur se produit parce que le certificat généré n'inclut pas le SAN ( subjectAltName ).

RFC2818 a déprécié le fait de se rabattre sur le commonName depuis mai 2000. L'utilisation de la subjectAltName est appliqué dans Chrome depuis la version 58. _(voir Dépréciations de Chrome 58 )_ .

OpenSSL accepte Fichiers de configuration x509v3 pour ajouter des configurations étendues aux certificats _(voir le subjectAltName pour les options de configuration)_ .

---

Bash script

J'ai créé un self-signed-tls bash script avec des options simples pour faciliter la génération d'autorités de certification et la signature de certificats x509 avec OpenSSL (valable dans Chrome en utilisant l'option subjectAltName champ) .

Le script vous guidera à travers une série de questions pour inclure les informations nécessaires (y compris le subjectAltName champ) . Vous pouvez faire référence à la README.md pour plus de détails et d'options d'automatisation.

Veillez à redémarrer Chrome après avoir installé de nouveaux certificats.

chrome://restart

---

Autres ressources

• La documentation de Docker contient une un excellent exemple simple et direct pour créer une autorité de certification auto-signée et signer des certificats avec OpenSSL.
• cfssl est également un outil très robuste, largement utilisé et qui vaut la peine d'être consulté.

Answer 4

J'utilise simplement le -subj paramètre ajoutant l'adresse IP de la machine. Donc résolu avec une seule commande.

sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -sha256 -subj '/CN=my-domain.com/subjectAltName=DNS.1=192.168.0.222/' -keyout my-domain.key -out my-domain.crt

Vous pouvez ajouter d'autres attributs comme C, ST, L, O, OU, emailAddress pour générer des certificats sans y être invité.

Answer 5

J'ai pu me débarrasser de (net::ERR_CERT_AUTHORITY_INVALID) en modifiant la valeur DNS.1 du fichier v3.ext

[alt_names] DNS.1 = nom de domaine.com

Remplacez domainname.com par votre propre domaine.