สายใบรับรอง SSL นี้ใช้งานไม่ได้และจะแก้ไขได้อย่างไร

สำหรับใบรับรอง SSL บนโดเมน example.com การทดสอบบางอย่างบอกฉันว่าห่วงโซ่ไม่สมบูรณ์และเนื่องจาก Firefox เก็บใบรับรองของตัวเองไว้จึงอาจล้มเหลวบน Mozilla ( 1 , 2 , 3 ) คนอื่นบอกฉันว่ามันใช้ได้ดีเช่นเดียวกับ Firefox 36 ซึ่งบอกฉันว่าเชนใบรับรองนั้นใช้ได้

UPDATE: ฉันทดสอบบน Opera, Safari, Chrome และ IE ทั้ง Windows XP และ MacOS X Snow Leopard พวกเขาทำงานได้ดี มันล้มเหลวบน Firefox <36 บนทั้งสองระบบปฏิบัติการเท่านั้น ฉันไม่สามารถเข้าถึงทดสอบบน Linux ได้ แต่สำหรับเว็บไซต์นี้มีผู้เข้าชมน้อยกว่า 1% และส่วนใหญ่อาจเป็นบ็อต ดังนั้นนี่เป็นการตอบคำถามเดิม "การตั้งค่านี้ทำให้เกิดคำเตือนใน Mozilla Firefox หรือไม่" และ "ห่วงโซ่ใบรับรอง SSL นี้เสียหรือไม่"

ดังนั้นคำถามคือฉันจะทราบได้อย่างไรว่าฉันต้องวาง certs ใดในไฟล์ ssl.ca เพื่อให้ Apache สามารถเสิร์ฟ Firefox <36 จากการสำลักได้?

PS: ตามหมายเหตุด้าน Firefox 36 ที่ฉันใช้ในการทดสอบใบรับรองเป็นการติดตั้งใหม่ล่าสุด มีโอกาสก็ไม่ได้บ่นเพราะมันได้ไม่ดาวน์โหลดมาใบรับรองกลางในระหว่างการเยือนก่อนหน้านี้ไปยังเว็บไซต์ที่ใช้ห่วงโซ่เดียวกัน

ถ้าเชนนั้นเพียงพอจะขึ้นอยู่กับที่เก็บ CA ของไคลเอนต์ ดูเหมือนว่า Firefox และ Google Chrome จะรวมใบรับรองสำหรับ "ผู้ออกใบรับรอง COMODO RSA" ในปลายปี 2014 สำหรับ Internet Explorer อาจขึ้นอยู่กับระบบปฏิบัติการพื้นฐาน CA อาจยังไม่รวมอยู่ในร้านค้าที่เชื่อถือได้ซึ่งใช้โดยที่ไม่ใช่เบราว์เซอร์เช่นโปรแกรมรวบรวมข้อมูลแอปพลิเคชันมือถือเป็นต้น

ไม่ว่าในกรณีใดโซ่ไม่ถูกต้องอย่างที่เห็นจากรายงาน SSLLabs :

• หนึ่งเส้นทางที่ไว้วางใจต้องการให้ CA ใหม่นั้นได้รับความเชื่อถือโดยเบราว์เซอร์ ในกรณีนี้คุณยังคงจัดส่ง CA ใหม่ซึ่งไม่ถูกต้องเนื่องจาก CA ที่เชื่อถือได้ต้องมีอยู่แล้วภายในและไม่อยู่ในห่วงโซ่
• เส้นทางที่ไว้วางใจอื่น ๆ ไม่สมบูรณ์เช่นจำเป็นต้องมีการดาวน์โหลดเพิ่มเติม เบราว์เซอร์บางตัวเช่น Google Chrome ทำการดาวน์โหลดนี้ในขณะที่เบราว์เซอร์อื่นและเบราว์เซอร์ที่ไม่ใช่เบราว์เซอร์คาดหวังว่าใบรับรองที่จำเป็นทั้งหมดจะอยู่ในห่วงโซ่การจัดส่ง ดังนั้นเบราว์เซอร์และแอพพลิเคชั่นส่วนใหญ่ที่ไม่มี CA ในตัวใหม่จะล้มเหลวกับเว็บไซต์นี้

ฉันติดต่อ Comodo และดาวน์โหลดไฟล์ bundle.crt จากพวกเขา ฉันเปลี่ยนชื่อเป็น ssl.ca ตามการตั้งค่าเซิร์ฟเวอร์นี้และตอนนี้ใบรับรองผ่านการทดสอบทั้งหมด การChain issues = Contains anchorแจ้งเตือนไม่ใช่ปัญหา (ดูด้านล่าง)

SSL Labs ซึ่งได้รับการยอมรับอย่างกว้างขวางว่าเป็นการทดสอบที่สมบูรณ์แบบที่สุดแสดงให้เห็นว่าChain issues = Contains anchorในขณะที่ก่อนหน้านี้เคยแสดงChain issues = None(ในขณะที่คนอื่น ๆ แสดงว่ามีปัญหากับโซ่) นี่เป็นเรื่องที่ไม่ใช่ปัญหา ( 1 , 2 ) นอกเหนือจาก 1kB พิเศษที่เซิร์ฟเวอร์ส่งไปให้ลูกค้า

ข้อสรุปของฉัน

1. เพิกเฉยการทดสอบSSL Labsที่มีข้อความระบุChain issues = Contains anchorหรือลบใบรับรองหลักออกจากไฟล์บันเดิล (ดูความคิดเห็นนี้ด้านล่าง)

2. มักจะเรียกใช้การทดสอบรองอย่างน้อยหนึ่งในอีกสามเว็บไซต์ทดสอบ ( 1 , 2 , 3 ) เพื่อให้แน่ใจว่าห่วงโซ่ของคุณจะถูกจริงๆเมื่อSSL LabsChain issues = Noneกล่าวว่า