Σπασμένο SSL /TLS αλυσίδες πιστοποιητικών από ενδιάμεσα που λείπουν μπορεί να προκαλέσουν σφάλματα εμπιστοσύνης. Μάθετε πώς να τα διαγνώσετε και να τα διορθώσετε εγκαθιστώντας μια πλήρη αλυσίδα.
Σφάλματα εμπιστοσύνης προγράμματος περιήγησης
Εάν έχετε εγκαταστήσει ένα νέο SSL /TLS πιστοποιητικό στον διακομιστή ιστού σας, αλλά οι επισκέπτες αντιμετωπίζουν σφάλματα εμπιστοσύνης του προγράμματος περιήγησης, όπως Not SecureΤο HIFU, ή Υψηλής Έντασης Εστιασμένος Υπέρηχος, στοχεύει επίσης στο πρόσωπο και τον λαιμό. Προσφέρει θεραπεία σε γρήγορες εκπομπές, γεγονός που κάνει τις συνεδρίες θεραπείας συντομότερες. Your Connection Is Not Private, βεβαιωθείτε ότι έχει εγκατασταθεί μια ολοκληρωμένη ενδιάμεση αλυσίδα πιστοποιητικών. Στο Google Chrome, ένα κοινό μήνυμα σφάλματος αυτού του τύπου είναι NET::ERR_CERT_AUTHORITY_INVALID.
Όλα τα ακόλουθα σφάλματα προγράμματος περιήγησης προέκυψαν από την εγκατάσταση ενός έγκυρου πιστοποιητικού, αλλά με διακεκομμένη αλυσίδα που προκλήθηκε από την έλλειψη ενδιάμεσων:
Not Secure προειδοποίηση εμπιστοσύνης
NET::ERR_CERT_AUTHORITY_INVALID προειδοποίηση εμπιστοσύνης στο παράθυρο του προγράμματος περιήγησης Chrome.
This Connection Is Not Private.
Για περισσότερα παραδείγματα μηνυμάτων σφάλματος προγράμματος περιήγησης* που προκύπτουν από την έλλειψη ενδιάμεσων πιστοποιητικών, ανατρέξτε στον οδηγό μας σχετικά με Αντιμετώπιση προβλημάτων SSL /TLS Σφάλματα και προειδοποιήσεις προγράμματος περιήγησης.
Επιπλέον, το Firefox αποθηκεύει προσωρινά τα ενδιάμεσα πιστοποιητικά στο δικό του χώρο αποθήκευσης πιστοποιητικών. Εάν έχετε επισκεφτεί προηγουμένως έναν ιστότοπο που περιείχε τυχόν ενδιάμεσα πιστοποιητικά που έλειπαν από τον διακομιστή σας, το Firefox θα τα χρησιμοποιήσει για να δημιουργήσει ένα πλήρες αλυσίδα πιστοποιητικών όταν είναι απαραίτητο. Αυτή η βελτιωμένη συμπεριφορά σημαίνει ότι οι χρήστες του Firefox αντιμετωπίζουν λιγότερα σφάλματα αλυσίδας πιστοποιητικών σε σύγκριση με άλλα προγράμματα περιήγησης.
*Τα μηνύματα σφάλματος και οι διεπαφές χρήστη που εμφανίζονται ενδέχεται να διαφέρουν ελαφρώς ανάλογα με την έκδοση του προγράμματος περιήγησης και τα λειτουργικά συστήματα. Τα βασικά συμπτώματα της απώλειας ενδιάμεσων πιστοποιητικών παραμένουν ίδια σε όλες τις πλατφόρμες.
Διάγνωση του προβλήματος
Διαγνωστικά εργαλεία και μέθοδοι
Μπορείτε να ελέγξετε για ελλείποντα ενδιάμεσα πιστοποιητικά χρησιμοποιώντας διάφορες μεθόδους:
- Ηλεκτρονικοί ελεγκτές SSL
- Έλεγχος SSL για SSL Shopper παραμένει ένα εξαιρετικό εργαλείο για τον εντοπισμό ελλειπουσών ενδιάμεσων προϊόντων. Το παρακάτω στιγμιότυπο οθόνης αποκαλύπτει την κατάσταση που προκάλεσε τα σφάλματα που εμφανίζονται παραπάνω. Τα σύγχρονα εργαλεία ελέγχου SSL παρέχουν ολοκληρωμένη ανάλυση, συμπεριλαμβανομένης της πληρότητας της αλυσίδας, των ημερομηνιών λήξης, της επικύρωσης Extended Key Usage και της συμβατότητας με τις τρέχουσες απαιτήσεις του προγράμματος περιήγησης.
- Τα σύγχρονα εργαλεία δοκιμών SSL ελέγχουν επίσης για επερχόμενες ημερομηνίες λήξης και προβλήματα με την εκτεταμένη χρήση κλειδιού.
Εργαλεία προγραμματιστή προγράμματος περιήγησης
Τα περισσότερα προγράμματα περιήγησης παρέχουν πλέον βελτιωμένες δυνατότητες ελέγχου πιστοποιητικών μέσω των κονσολών προγραμματιστών τους. Στο Chrome, τον Firefox και το Safari, μπορείτε να αποκτήσετε πρόσβαση σε λεπτομερείς πληροφορίες για την αλυσίδα πιστοποιητικών ως εξής:
- Κάνοντας κλικ στο εικονίδιο κλειδαριάς στη γραμμή διευθύνσεων
- Επιλογή «Πιστοποιητικό» ή «Η σύνδεση είναι ασφαλής»
- Προβολή της πλήρους αλυσίδας πιστοποιητικών και των λεπτομερειών εγκυρότητας
Εργαλεία γραμμής εντολών
Για τους διαχειριστές διακομιστών, το OpenSSL παρέχει ολοκληρωμένη ανάλυση της αλυσίδας πιστοποιητικών:
openssl s_client -connect example.com:443 -showcerts
openssl s_client -connect example.com:443 -showcerts
Κατανόηση των αλλαγών στην εγκυρότητα του πιστοποιητικού
Το SSL /TLS Το τοπίο των πιστοποιητικών έχει εξελιχθεί σημαντικά τα τελευταία χρόνια, με σημαντικές αλλαγές που επηρεάζουν τη διάρκεια ζωής και τη χρήση των πιστοποιητικών:
Συντομευμένη Διάρκεια Ζωής Πιστοποιητικού
Από τον Σεπτέμβριο του 2020, τα μεγάλα προγράμματα περιήγησης δεν εμπιστεύονται πλέον το SSL/TLS πιστοποιητικά με περιόδους ισχύος μεγαλύτερες από 398 ημέρες (περίπου ένα έτος). Το Φόρουμ CA/Browser έχει υιοθετήσει ένα σταδιακό χρονοδιάγραμμα (Ψηφοδέλτιο SC-081v3) για να μειωθεί το μέγιστο TLS Διάρκεια ζωής πιστοποιητικών: 200 ημέρες για πιστοποιητικά που εκδόθηκαν στις/μετά τις 15 Μαρτίου 2026, 100 ημέρες στις/μετά τις 15 Μαρτίου 2027, και 47 ημέρες στις/μετά τις 15 Μαρτίου 2029.
Αυτές οι αλλαγές απαιτούν την εφαρμογή ισχυρών συστημάτων διαχείρισης πιστοποιητικών και αυτοματοποίησης.
Περιορισμοί εκτεταμένης χρήσης κλειδιού
Πολιτική προγράμματος Chrome Root απαιτεί, ξεκινώντας Ιούνιος 15, 2026, πρόσφατα εκδοθέν δημόσια αξιόπιστη TLS πιστοποιητικά διακομιστή περιλαμβάνουν αποκλειστικά ο serverAuth EKU (αρ clientAuth).
Οι κύριες Αρχές Ασφαλείας ευθυγραμμίζονται πριν από αυτήν την ημερομηνία. Εάν χρειάζεστε TLS έλεγχος ταυτότητας πελάτη, χρήση ξεχωριστό πιστοποιητικά ελέγχου ταυτότητας πελάτη από μια ιδιωτική ή αποκλειστική ιεραρχία. Οι οργανισμοί που χρησιμοποιούν πιστοποιητικά και για τους δύο σκοπούς θα χρειαστούν ξεχωριστά πιστοποιητικά για κάθε λειτουργία.
Επίλυση του προβλήματος
Όταν κάνετε λήψη του πιστοποιητικού σας από το λογαριασμό χρήστη SSL.com χρησιμοποιώντας τον σύνδεσμο για την πλατφόρμα διακομιστή σας, λαμβάνετε ένα συμπιεσμένο αρχείο που περιλαμβάνει τόσο το πιστοποιητικό όσο και όλα τα απαραίτητα υποστηρικτικά αρχεία. Εάν θέλετε να κάνετε λήψη μόνο των ενδιάμεσων πιστοποιητικών, μπορείτε επίσης να χρησιμοποιήσετε το Πακέτο CA σύνδεσμος λήψης.
Η εγκατάσταση των ενδιάμεσων διαφέρει ανάλογα με την πλατφόρμα διακομιστή. Για συγκεκριμένες οδηγίες σχετικά με τον τρόπο εγκατάστασης των απαιτούμενων ενδιάμεσων πιστοποιητικών στον διακομιστή σας και τη δημιουργία μιας πλήρους αλυσίδας, ανατρέξτε στο τεκμηρίωση εγκατάστασης πιστοποιητικού.
Επιπτώσεις στην εγκατάσταση
Κατά τη λήψη πιστοποιητικών από τον λογαριασμό σας SSL.com, βεβαιωθείτε ότι χρησιμοποιείτε τα πιο πρόσφατα ενδιάμεσα πιστοποιητικά. Ο σύνδεσμος λήψης πακέτου CA στον λογαριασμό σας θα παρέχει πάντα τα σωστά, ενημερωμένα ενδιάμεσα πιστοποιητικά για την εγκατάστασή σας.
Σύγχρονες βέλτιστες πρακτικές εγκατάστασης
Ο αυτοματισμός είναι απαραίτητος: Με τη μείωση της διάρκειας ζωής των πιστοποιητικών, η μη αυτόματη διαχείριση πιστοποιητικών καθίσταται ολοένα και πιο μη πρακτική. Εξετάστε το ενδεχόμενο εφαρμογής:
- Αυτοματοποιημένα συστήματα ανανέωσης πιστοποιητικών (Πρωτόκολλο ACME πελάτες)
- Κύκλος ζωής πιστοποιητικού εργαλεία διαχείρισης
- Συστήματα παρακολούθησης αυτή η ειδοποίηση πριν από τη λήξη του πιστοποιητικού
Σκέψεις για την πλατφόρμα:
- Πολλοί πάροχοι φιλοξενίας και CDN διαχειρίζονται πλέον αυτόματα την εγκατάσταση ενδιάμεσων πιστοποιητικών
- Οι πλατφόρμες cloud συχνά παρέχουν ολοκληρωμένες υπηρεσίες διαχείρισης πιστοποιητικών.
- Για εγκαταστάσεις εσωτερικής εγκατάστασης, βεβαιωθείτε ότι η διαδικασία ανανέωσης περιλαμβάνει ενδιάμεσες ενημερώσεις πιστοποιητικών
Βήματα επαλήθευσης – Να επαληθεύετε πάντα ολόκληρη την αλυσίδα πιστοποιητικών σας μετά την εγκατάσταση:
- Δοκιμή από πολλά προγράμματα περιήγησης και συσκευές
- Χρησιμοποιήστε εργαλεία ελέγχου SSL για να επιβεβαιώσετε την πληρότητα της αλυσίδας
- Επαληθεύστε ότι οι περίοδοι ισχύος του πιστοποιητικού συμβαδίζουν με το πρόγραμμα ανανέωσής σας
- Ελέγξτε ότι τα πιστοποιητικά περιέχουν μόνο τις κατάλληλες τιμές Εκτεταμένης Χρήσης Κλειδιού
Επιβεβαιώστε την επιδιόρθωση
Με όλα τα υποστηρικτικά πιστοποιητικά εγκατεστημένα στον ίδιο διακομιστή που παρήγαγε τα "μη αξιόπιστα" σφάλματα που εμφανίζονται παραπάνω, Έλεγχος SSL δείχνει μια πλήρη αλυσίδα και τα σφάλματα εμπιστοσύνης του προγράμματος περιήγησης έχουν εξαφανιστεί:
Προετοιμασία για το μέλλον της διαχείρισης πιστοποιητικών σας
Προετοιμαστείτε για μικρότερους κύκλους ζωής
- Εφαρμογή αυτοματοποιημένων συστημάτων διαχείρισης πιστοποιητικών πριν από την έναρξη ισχύος της περιόδου ισχύος των 47 ημερών το 2029
- Καθιέρωση παρακολούθησης και ειδοποίησης για τη λήξη πιστοποιητικών
- Εξετάστε το ενδεχόμενο χρήσης αρχών έκδοσης πιστοποιητικών συμβατών με ACME για απρόσκοπτη αυτοματοποίηση.
Ξεχωριστοί τύποι ελέγχου ταυτότητας
- Σχεδιάστε τον διαχωρισμό των πιστοποιητικών ελέγχου ταυτότητας διακομιστή και ελέγχου ταυτότητας πελάτη
- Εξετάστε την τρέχουσα χρήση πιστοποιητικών για να εντοπίσετε πιστοποιητικά μικτής χρήσης
- Εφαρμογή αφιερωμένης PKI ιεραρχίες για διαφορετικούς σκοπούς πιστοποιητικών
Παρακολούθηση και Συντήρηση
- Τακτικοί έλεγχοι των αποθεμάτων πιστοποιητικών σε ολόκληρη την υποδομή σας
- Αυτοματοποιημένος έλεγχος πληρότητας της αλυσίδας πιστοποιητικών
- Τεκμηρίωση των εξαρτήσεων πιστοποιητικών και των διαδικασιών ανανέωσης
Η τάση προς μικρότερη διάρκεια ζωής πιστοποιητικών και αυστηρότερες απαιτήσεις χρήσης υπογραμμίζει την κρίσιμη σημασία της σωστής εγκατάστασης ενδιάμεσων πιστοποιητικών και της ολοκληρωμένης διαχείρισης του κύκλου ζωής των πιστοποιητικών.
Η σωστή εγκατάσταση ενδιάμεσου πιστοποιητικού παραμένει θεμελιώδης για το SSL/TLS ασφάλεια. Ωστόσο, το τοπίο συνεχίζει να εξελίσσεται με μικρότερη διάρκεια ζωής πιστοποιητικών και αυστηρότερες απαιτήσεις προγράμματος περιήγησης.
Ακολουθώντας τις τρέχουσες βέλτιστες πρακτικές, εφαρμόζοντας κατάλληλο αυτοματισμό και παραμένοντας ενημερωμένοι σχετικά με τις αλλαγές στον κλάδο, μπορείτε να διασφαλίσετε ότι τα πιστοποιητικά σας παρέχουν αξιόπιστη ασφάλεια στους χρήστες σας.
Για τις πιο πρόσφατες οδηγίες εγκατάστασης πιστοποιητικών και τα ενδιάμεσα πακέτα πιστοποιητικών, ανατρέξτε πάντα στην τεκμηρίωση και τους συνδέσμους λήψης στο δικό σας SSL.com λογαριασμός, καθώς αυτά ενημερώνονται τακτικά ώστε να αντικατοπτρίζουν τις πιο πρόσφατες απαιτήσεις και τις αλλαγές CA.
Χρειάζεσαι βοήθεια? Η ομάδα υποστήριξης της SSL.com παραμένει ενημερωμένη για όλες τις αλλαγές στον κλάδο και μπορεί να σας βοηθήσει με την εγκατάσταση πιστοποιητικών, τη διαμόρφωση της αλυσίδας και την προετοιμασία για τις επερχόμενες απαιτήσεις. Επικοινωνήστε μαζί μας στο Support@SSL.com ή χρησιμοποιήστε τη λειτουργία συνομιλίας κάτω δεξιά σε αυτήν τη σελίδα.
