web-dev-qa-db-ja.com

SSL証明書を拒否するブラウザの数を確認する

ウェブサーバーにHTTPリクエストを送信するときにSSL証明書を拒否するブラウザの数を知りたいのですが。現在、ほとんどの最新のブラウザーで認識されているように見える無料のCAを使用していますが、ブラウザーとオペレーティングシステムの組み合わせを徹底的にテストせずに、いくつかの数値を取得したいと思います。

証明書の検証が失敗するとブラウザが接続を終了することを理解していますが、Apacheがこれを検出する方法はありますか？特定の診断情報を取得することは期待していません。証明書/ SSLの問題があったという事実だけで十分です。

apache-2.2securitysslssl-certificate
11
Matt

SSLプロトコルには、CAが不明な場合のアラートコードが実際にあります...私が推測するtsharkのようなものを使用してそれを検出できます。

しかし、もっと便利なのは、問題を回避する方法を知っていることです。 Apacheでは、次の3つのディレクティブがあることを確認してください。

SSLCertificateFile /etc/pki/tls/certs/myserver.cert
SSLCertificateKeyFile /etc/pki/tls/private/myserver.key
SSLCertificateChainFile /etc/pki/tls/certs/myserver.ca-bundle

ファイル名に付けられた拡張子は、Apacheにとって実際には重要ではありません。この場合、SSLCertificateFileは、サーバーのサブジェクトを持つ単一のX.509証明書になり、SSLCertificateChainFileは、中間CA証明書とルートCA証明書を連結したものになります（最初にルートから開始）。

これは、PEMエンコーディングで証明書チェーンを探索するのに役立つ便利なスクリプトです。

#!/bin/bash
#
# For an input of concatenated PEM ("rfc style") certificates, and a
# command-line consisting of a command to run, run the command over each PEM
# certificate in the file. Typically the command would be something like
# 'openssl x509 -subject -issuer'.
#
# Example:
#
#    ssl-rfc-xargs openssl x509 -subject -issuer -validity -modulus -noout < mynewcert.pem
#
sed -e 's/^[ \t]*<ds:X509Certificate>\(.*\)$/-----BEGIN CERTIFICATE-----\n\1/' \
    -e 's/^[ \t]*<\/ds:X509Certificate>[ \t]*$/-----END CERTIFICATE-----\n/' \
    -e 's/^\(.*\)<\/ds:X509Certificate>[ \t]*$/\1\n-----END CERTIFICATE-----\n/' \
| gawk -vcommand="$*" '
    /^-----BEGIN /,/^-----END / {
        print |& command
    }
    /^-----END / {
        while ((command |& getline results) > 0) {
             print results
        }
        close(command)
    }
    '

（この特定のスクリプトは、特定のXMLアプリケーションにも使用されます。これは、開始近くのsedビットがサポートすることを目的としています。興味深いビットはgawkによって実行されます。）

これを使用する方法の例を次に示します（CAバンドル内の証明書が正しい順序になっていることを確認するなど-場合によってはこれが重要になります）

$ openssl s_client -connect google.com:443 -showcerts </dev/null 2>&1 | ssl-rfc-xargs openssl x509 -subject -issuer -noout
subject= /C=US/ST=California/L=Mountain View/O=Google Inc/CN=google.com
issuer= /C=US/O=Google Inc/CN=Google Internet Authority G2
subject= /C=US/O=Google Inc/CN=Google Internet Authority G2
issuer= /C=US/O=GeoTrust Inc./CN=GeoTrust Global CA
subject= /C=US/O=GeoTrust Inc./CN=GeoTrust Global CA
issuer= /C=US/O=Equifax/OU=Equifax Secure Certificate Authority

1つの証明書の発行者が親のサブジェクトに隣接していることに注意してください[すぐ下]

このスクリプトを使用してローカルファイルを検査する方法の別の例を次に示します。

$ < /etc/pki/tls/certs/example.ca-bundle ssl-rfc-xargs openssl x509 -subject -issuer -noout
3
Cameron Kerr