ApacheのSSL証明書がiPhoneとiPadで機能しない

Question

私は奇妙な問題を抱えています。ウェブサイトのUbuntuサーバー上のApacheにRapidSSLから新しい証明書をインストールしました http://www.radflek.com/shop/ 。

私が試したすべてのPCブラウザーで完全に正常に動作しているようですが、iPhoneまたはiPadで試したときに、「サーバーへの安全な接続を確立できなかったため、Safariはページを開くことができません。」というエラーが表示されます。

何が悪いのか誰かアドバイスできますか？！

[〜＃〜] update [〜＃〜]：この問題を解決できませんでしたが、iOS 5.1がリリースされたとき、この問題は完全に解決しました。 iOS5.0のみに関連しているようです。

Shane Madden · Answer

彼らはあなたに不完全な証明書チェーンを与えました。モバイルブラウザは、他のブラウザよりもチェーンの問題に少し敏感になる傾向があります。拇印がc039a3269ee4b8e82d00c53fa797b5a19e836f47の中間発行者証明書は正しく提示されていますが、サーバーが提示している「ルート」証明書はルート証明書ではありません。それは中間です。

実際のルート証明書（de28f4a4ffe5b92fa3c503d1a349a7f9962a8212、ほとんどのブラウザが理解します）と提示されたルートではない（7359755c6df9a0abc3060bce369564c8ec4542a3）は同じ暗号化キーを共有するため、発行元のCAとの署名関係どちらの方法でも機能しますが、提示されたルートはまったくルートではなく、その信頼チェーンは送信されていないルート証明書（d23209ad23d314232174e40d7f9d62139786633a）に依存しています。

SSLCertificateChainFileディレクティブでポイントする証明書バンドルを提供するか、SSLCertificateFileでポイントする公開鍵ファイルにルートをロールバックします。どちらを指定すると、変更することになります。そのファイル。

ファイルを変更する前に、バックアップとしてファイルをコピーします。次に、このセクションを見つけます。

そして、これに置き換えて、実際にはルート証明書であるルートのバージョンを表示します。

または、オプションBとして、何らかの理由で問題が発生した場合は、代わりに現在の「ルート」をそのままにして、ファイルの最後にあるチェーンにルート証明書を追加することができます。

変更を加えた後、Apacheを完全に再起動します。正常な再起動または「リロード」では、変更された証明書ファイルが正しく取得されません。

cjc · Answer

モバイルデバイスでのRapidSSL中間証明書に関連するStackOverflowの投稿は次のとおりです。

https://stackoverflow.com/questions/7203857/rapidssl-certificate-not-trusted-on-Android-tablet

zakjan · Answer

証明書には、発行者の証明書へのURLを含む特別なAuthority Information Access拡張子（ RFC-328 ）を含めることができます。ほとんどのブラウザは、AIA拡張機能を使用して、不足している中間証明書をダウンロードし、証明書チェーンを完成させることができます。ただし、一部のクライアント（モバイルブラウザ、OpenSSL）はこの拡張機能をサポートしていないため、そのような証明書を信頼できないものとして報告します。

不完全な証明書チェーンの問題は、証明書から信頼されたルート証明書（この順序で排他的）にすべての証明書を連結することで手動で解決できます。問題。信頼されたルート証明書は、システムのルート証明書ストアにすでに含まれているため、そこにあるべきではないことに注意してください。

発行者から中間証明書をフェッチして、自分でそれらを連結できるはずです。手順を自動化するスクリプトを作成しました。このスクリプトはAIA拡張機能をループして、正しくチェーンされた証明書の出力を生成します。 https://github.com/zakjan/cert-chain-resolver