วิธีแก้ไข Firefox 59 ไม่ยอมรับใบรับรอง SSL ของฉันที่ลงชื่อด้วยตนเองใน. virtual virtualhost

ในสภาพแวดล้อม Apache ท้องถิ่นของฉันฉันมีเว็บไซต์ที่ต้องการ SSL เพื่อการพัฒนาดังนั้นฉันจึงใช้ใบรับรองที่ลงชื่อด้วยตนเอง ไซต์ท้องถิ่นทำงานได้ดีใน Firefox และ Chrome จนถึงตอนนี้ แต่หลังจากอัปเดต Firefox เป็นรุ่น 59 วันนี้ฉันไม่สามารถรับมันเพื่อยอมรับข้อยกเว้นด้านความปลอดภัย (บน Chrome ใบรับรองที่ลงชื่อด้วยตนเองยังคงใช้งานได้)

Firefox ให้ข้อมูลเพิ่มเติมแก่ฉันในหน้าเว็บที่ถูกบล็อก:

... ใช้ใบรับรองความปลอดภัยที่ไม่ถูกต้อง ใบรับรองไม่น่าเชื่อถือเพราะลงนามด้วยตนเอง รหัสข้อผิดพลาด: SEC_ERROR_UNKNOWN_ISSUER

ไม่มีตัวเลือกให้อนุญาตข้อยกเว้นที่นี่เหมือนที่เคยเป็น แต่ฉันไปที่การตั้งค่า Firefox ภายใต้ใบรับรองจากนั้นในแท็บ "เซิร์ฟเวอร์" ฉันได้เพิ่มข้อยกเว้นสำหรับโดเมนท้องถิ่น ใบรับรองจะแสดงรายการในชื่อเซิร์ฟเวอร์ภายในที่ถูกต้องรายละเอียดแสดงการตั้งค่าใบรับรองของฉันที่ออกโดยและออกให้เหมือนกันโดยมีช่วงเวลาที่ถูกต้อง

ใครที่ประสบปัญหาคล้ายกันกับ FF 59 หรืออาจมีเงื่อนงำอะไรที่จะทำให้ใบรับรองที่ลงชื่อด้วยตนเองทำงานได้อีกครั้งในเครื่อง

แก้ไข: ฉันไม่เห็นการพูดถึงสิ่งนี้ในบันทึกประจำรุ่น FF 59แต่มีบางสิ่งในรุ่นใหม่ที่ทำให้โฮสต์เสมือนในพื้นที่ของฉันในโดเมน * .dev พยายามสร้างการเชื่อมต่อ https โดยอัตโนมัติ (กล่าวคือ http ทั้งหมด คำขอสำหรับ * .dev จะถูกส่งโดยอัตโนมัติไปยัง https URL) บางทีสิ่งที่เกี่ยวกับพฤติกรรมนี้ก็เป็นสิ่งที่ทำให้เกิดปัญหาเหล่านี้สำหรับโฮสต์เสมือน https ที่แท้จริงของฉัน

ฉันยังไม่ชัดเจนว่าทั้งหมดนี้เข้ากันได้อย่างไร แต่ตามที่ระบุไว้ใน .devโดเมนคำตอบนี้ตอนนี้ TLD อย่างเป็นทางการ ดังนั้นดูเหมือนว่าเบราว์เซอร์จะบังคับให้มีพฤติกรรม HSTS และการเชื่อมต่อ https สำหรับ TLD เหล่านั้นดูเหมือนว่าใบรับรองแบบลงนามด้วยตนเองของฉันจะไม่ได้รับการยอมรับใน Firefox อีกต่อไป การเปลี่ยนโฮสต์เสมือนของฉันให้ใช้.testแก้ไขปัญหาได้โดยไม่ต้องเปลี่ยนอะไรในใบรับรองที่ลงชื่อด้วยตัวเองเลย

เป็นที่น่าสังเกตว่าใน Firefox นั้นโฮสต์เสมือนที่ไม่ใช่ SSL ของฉันยังทำงานอยู่ตั้งแต่รุ่น 59 วันนี้เนื่องจากพฤติกรรม HSTS ดูเหมือนจะบังคับใช้ SSL กับโฮสต์เสมือนฉันไม่ได้ตั้งค่าให้บริการผ่าน SSL ใน Chrome ยังคงใช้งานได้ แต่วิธีใดก็ตามที่ปลอดภัยที่จะพูดว่าการย้ายออกจาก.devTLD ที่ใช้อย่างเป็นทางการในขณะนี้จะช่วยแก้อาการปวดหัวได้หลายวิธี

มีวิธีง่ายๆในการแก้ไขปัญหานี้

1. ไปที่ about:config
2. ค้นหา "network.stricttransportsecurity.preloadlist"
3. falseตั้งค่าให้

คำเตือน: นี้จะปิดการใช้งาน HSTS ทั้งหมด ดูความคิดเห็นเกี่ยวกับคำตอบนี้สำหรับการสนทนาเกี่ยวกับข้อเสียของวิธีนี้ ฉันเองคิดว่าผลประโยชน์มีมากกว่าความเสี่ยง แต่คุณต้องรับผิดชอบต่อความปลอดภัยของคุณเอง

การตั้งค่าsecurity.enterprise_roots.enabledไปtrueที่about:configหน้าแก้ไขปัญหานี้ให้ฉันและอนุญาตให้ใบรับรองที่ลงนามเองทำงานระหว่างการพัฒนา

มีบิตของการสนทนารอบประโยชน์ของการเป็นอยู่นี้โดยเริ่มต้นที่นี่:
ชุด security.enterprise_roots.enabled จริงโดยค่าเริ่มต้น

แม้ว่าเจตนาของการตั้งค่าสถานะนี้คือการอนุญาตให้ Firefox ใช้ที่เก็บ root CA ทั่วทั้งเครื่องเป็นแหล่งข้อมูลที่ถูกต้องสำหรับผู้ออกใบรับรอง แต่สิ่งนี้ได้แก้ไขสถานการณ์สำหรับกรณีการใช้งานของตัวเองที่ฉันมีใบรับรองหลายโดเมนที่ลงชื่อด้วยตนเอง ในประเทศสำหรับการทดสอบ(SubjectAltName ของ) แม้หลังจากที่ฉันเพิ่มใบรับรองลงในรายการใบรับรอง Firefox แล้วก็ไม่ได้จนกว่าฉันจะเปิดใช้งานสิ่งนี้เพื่อให้โหลดไซต์ในเครื่องได้

มีปัญหาเดียวกันในบาซิลิสเว็บเบราเซอร์ ฉันพยายามเปลี่ยนการตั้งค่าพร็อกซีเครือข่ายหรือแก้ไข "network.stricttransportsecurity.preloadlist" หรือ "security.enterprise_roots.enabled" ตั้งค่าสถานะ "... แต่ไม่ได้แก้ไขปุ่มหายไปเพื่อเพิ่มใบรับรองสำหรับเว็บไซต์ที่ถูกบล็อก เพียงนี้ทำให้มันผ่าน:

1. about:supportไปที่
2. คลิกที่Open Directoryโปรไฟล์เบราว์เซอร์ของคุณ
3. ปิดเบราว์เซอร์อย่างสมบูรณ์
4. แก้ไขไฟล์ " SiteSecurityServiceState.txt " ในไดเรกทอรีด้านบน
5. ค้นหาและลบบรรทัดทั้งหมดที่มีไซต์ HSTS ที่ถูกบล็อก
6. บันทึกไฟล์และเปิดเบราว์เซอร์ของคุณใหม่บนไซต์นั้น

ฉันไปที่ "Let's Encrypt"

https://letsencrypt.org/

ใช้ได้ครั้งละ 3 เดือน แต่การรีเฟรชสามารถเป็นแบบอัตโนมัติได้

อย่างที่คุณเห็นในหมายเหตุมีการจับ โดเมนการพัฒนาและทดสอบของเราเรียกว่า dev-www.example.com และ test-www.example.com เราใช้ใบรับรองตัวแทนจากการผลิต