Solucionar problemas de certificados SSL certificate-problems

Certificado no válido invalid-certificate

Este error se produce porque el cliente utilizó una clave privada cifrada y proporcionó la clave en formato DER.

La clave privada debe tener el formato PKCS 8 pkcs-8

Este error se produce porque el cliente utilizó una clave privada cifrada y proporcionó la clave en formato DER.

Orden de certificados correcto certificate-order

El motivo más común para que una implementación de certificado falle es que los certificados intermedios o de cadena no están en el orden correcto.

Los archivos de certificado intermedios deben finalizar con el certificado raíz o el certificado más cercano a la raíz. Deben estar en orden descendente desde el certificadomain/server a la raíz.

Puede determinar el orden de los archivos intermedios mediante el siguiente comando.

openssl crl2pkcs7 -nocrl -certfile $CERT_FILE | openssl pkcs7 -print_certs -noout

Puede verificar que la clave privada y el certificado main/server coincidan mediante los siguientes comandos.

openssl x509 -noout -modulus -in certificate.pem | openssl md5

openssl rsa -noout -modulus -in ssl.key | openssl md5

Quitar certificados de cliente client-certificates

Al agregar un certificado, recibe un error similar al siguiente:

The Subject of an intermediate certificate must match the issuer in the previous certificate. The SKI of an intermediate certificate must match the AKI of the previous certificate.

Es probable que haya incluido el certificado de cliente en la cadena de certificados. Asegúrese de que la cadena no incluya el certificado de cliente e inténtelo de nuevo.

Directiva de certificados policy

Si ve el siguiente error, compruebe la directiva de su certificado.

Certificate policy must conform with EV or OV, and not DV policy.

Los valores OID incrustados normalmente identifican directivas de certificado. Si se envía un certificado a texto y se busca el OID, se muestra la directiva del certificado.

Puede incluir los detalles del certificado como texto si usa el siguiente ejemplo como guía.

openssl x509 -in 9178c0f58cb8fccc.pem -text
certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            91:78:c0:f5:8c:b8:fc:cc
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", OU = http://certs.godaddy.com/repository/, CN = Go Daddy Secure Certificate Authority - G2
        Validity
            Not Before: Nov 10 22:55:36 2021 GMT
            Not After : Dec  6 15:35:06 2022 GMT
        Subject: C = US, ST = Colorado, L = Denver, O = Alexandra Alwin, CN = adobedigitalimpact.com
        Subject Public Key Info:
...

El patrón OID del texto define el tipo de directiva del certificado.

Por grep ping para los patrones OID en el texto del certificado de salida, puede confirmar la directiva de certificado.

# "EV Policy"
openssl x509 -in certificate.pem -text grep "Policy: 2.23.140.1.1" -B5

# "OV Policy"
openssl x509 -in certificate.pem -text grep "Policy: 2.23.140.1.2.2" -B5

# "DV Policy - Not Accepted"
openssl x509 -in certificate.pem -text grep "Policy: 2.23.140.1.2.1" -B5

Validez del certificado validity

Cloud Manager espera que el certificado SSL sea válido durante al menos 90 días desde la fecha actual. Compruebe la validez de la cadena de certificados.

Se ha aplicado un certificado SAN incorrecto a mi dominio wrong-san-cert

Supongamos que desea vincular dev.yoursite.com y stage.yoursite.com a su entorno que no sea de producción y a prod.yoursite.com a su entorno de producción.

Para configurar la CDN para estos dominios, necesita instalar un certificado para cada uno, de modo que instale un certificado que cubra *.yoursite.com para los dominios que no sean de producción y otro que también cubra *.yoursite.com para los dominios de producción.

Esta configuración es válida. Sin embargo, al actualizar uno de los certificados, ya que ambos cubren la misma entrada de SAN, la red de distribución de contenido (CDN) instalará el certificado más reciente en todos los dominios aplicables, lo que podría parecer inesperado.

Aunque esto puede ser inesperado, no se trata de un error y es el comportamiento estándar de la CDN subyacente. Si tiene dos o más certificados SAN que cubren la misma entrada de dominio SAN, si ese dominio está cubierto por un certificado y el otro se actualiza, este último se instalará ahora para el dominio.