giấy chứng nhận ssl của tôi là không đáng tin cậy

Question

Tôi đã thực hiện một giấy chứng nhận tại máy chủ của tôi sử dụng lệnh này:

sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/apache2/ssl/apache.key -out /etc/apache2/ssl/apache.crt 

và cấu hình tất cả mọi thứ một cách chính xác, cuz trang web của tôi là avaiable khi loại trừ https http. Nhưng tuy nhiên có một vấn đề. Chứng chỉ của tôi không đáng tin cậy.

Firefox nhắc nhở:

sec_error_untrusted_issuer 

Và Chrome:

NET::ERR_CERT_AUTHORITY_INVALID 

Có cách nào để làm cho chứng chỉ đáng tin cậy? Vì vậy, lỗi sẽ không xảy ra?

Trong coz tôi có thể chấp nhận rủi ro và được chuyển tiếp đến trang web nhưng điều đó sẽ không có vẻ tốt cho những người sẽ ghé thăm trang web của tôi qua https.

Answer 1

Firefox: Điều hướng đến https trang. Ở dưới cùng có một tùy chọn cho "Tôi hiểu những rủi ro." Phóng to phần này và "Thêm ngoại lệ".

Chrome: Đây là khó khăn hơn một chút. Bạn phải lưu chứng chỉ được trình bày bởi máy chủ web trên hệ thống tệp của bạn, sau đó nhập chứng chỉ vào Chrome. Cài đặt -> Cài đặt nâng cao -> HTTPS/SSL -> Quản lý chứng chỉ -> Máy chủ -> Nhập.

Nếu bạn muốn mọi người bên ngoài để có thể sử dụng trang web của bạn, bạn cần phải nhận được giấy chứng nhận có chữ ký của một cơ quan chứng nhận. Sau đó, bạn sử dụng chứng chỉ đã ký này trong máy chủ web của mình.

Answer 2

Các cơ quan chứng nhận (một trong những người phát hành giấy chứng nhận) cần phải được tin cậy bởi trình duyệt. Chứng chỉ tự ký không được tin cậy theo mặc định. Do đó, chứng chỉ cần phải được người dùng chấp nhận thủ công, điều này không phải là điều gì đó sẽ làm nhiều nhất và trong Chrome, điều này rất khó khăn.

Đối với khu vực quản trị và chỉ giao dịch với người dùng chuyên nghiệp, đây không phải là vấn đề, nhưng đối với công chúng, điều này không thể mong đợi.

Nếu bạn có địa chỉ IP của riêng mình, điều này không khó, vì các địa điểm như startssl có chứng chỉ miễn phí và nhà đăng ký như gandi.net cũng cung cấp chứng nhận miễn phí 1 năm.

Nếu bạn có một địa chỉ IP chia sẻ với những người khác, sau đó có một số khách hàng mà sẽ không thể để di chuyển một cách hiệu quả (vì chỉ có một người biết lắng nghe SSL trên một IP). Windows XP (tất cả các trình duyệt), Android 2.x và Blackberry 7.x không hỗ trợ phần mở rộng đối với thương lượng SSL bao gồm tên miền.

Note - Nó bây giờ tháng 8 2017 và nhiều devides ít không hỗ trợ SNI, cũng như có sự miễn phí (và khá dễ sử dụng) LetsEncrypt SSL certificates.