Come posso garantire che lo stunnel invii tutti i certificati CA intermedi?

Alcuni computer, ma non la maggior parte, stanno rifiutando il certificato SSL dal mio server web. Il problema sembra essere che alcuni computer rifiutano i certificati CA. Il problema sembra manifestarsi su Mac OS X 10.6 quando non è completamente aggiornato.

Secondo http://www.sslshopper.com/index.php?q=ssl-checker.html#hostname=beta.asana.com - non ci sono problemi.

Secondo http://certlogik.com/sslchecker/ , non vengono inviati certificati intermedi.

La mia richiesta è di Starfield Technologies, e sto usando sf_bundle.crtda qui: certs.godaddy.com/anonymous/repository.seam

Sto gestendo SSL sul mio server tramite stunnel con il seguente stunnel.conf:

cert = $CODEZ/admin/production/proxy/asana.pem
CAfile = $CODEZ/admin/production/proxy/sf_bundle.crt
pid =
client = no

[<forwarded port>]
accept = 443
connect = 8443

Qualche idea su cosa potrei fare di sbagliato?

L' CAFileopzione configura una CA da utilizzare per i certificati di autenticazione client; questo non è quello che vuoi.

Invece, si desidera creare il file certnell'opzione per contenere l'intera catena di certificati applicabile. Ti consigliamo di salvare una copia di backup di quel file, quindi crearne uno nuovo; fondamentalmente combinando i due file, formattati in questo modo:

-----BEGIN CERTIFICATE-----
(certificate from asana.pem file pasted here)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(intermediate certificate here; copy-paste the top chunk from the bundle)
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
(root certificate here; copy-paste the bottom chunk from the bundle)
-----END CERTIFICATE-----

Ciò costringerà lo stunnel a presentare l'intera catena di certificati ai clienti.

Un altro bocconcino; il openssl s_clientcomando è molto utile per testare i problemi della catena di certificati e controllare come il servizio presenta i propri certificati.

Modifica: Ok .. quella catena di pacchetti di certificati ha una profondità di tre, ma la catena di fiducia ha una profondità di due. Qualcosa non va.

Il certificato superiore ("Starfield Secure Certification Authority") è firmato da un emittente denominato "Starfield Class 2 Certification Authority" con un'identificazione personale che inizia con ad7e1c28.. ma il secondo certificato nel pacchetto, chiamato esattamente lo stesso del primo firmatario del certificato, che dovrebbe essere lo stesso certificato esatto, ha un'identificazione personale che inizia con 363e4734e una data di scadenza 10 anni prima. Quindi il terzo certificato (root) è il firmatario del certificato intermedio incluso .. ma nessuno di questi due ha alcuna relazione con il primo!

Se ciò non avesse senso, non preoccuparti. Riepilogo: lavoro sciatto, qualcuno ha seriamente lasciato cadere la palla costruendo questo pacchetto di certificati. La tua scommessa migliore, quindi, è esportare i file nel formato base 64 da un browser che convalida correttamente la catena, incollandoli nel formato che ho elencato da lì.

Dal momento che questo è un pasticcio confuso senza colpa tua, ho fatto un'ipotesi sul tuo nome DNS e ho afferrato il certificato e penso che questa dovrebbe essere la catena completa di cui hai bisogno: http://pastebin.com/Lnr3WHc8

Qualys SSLLabs è davvero utile per controllare la configurazione dopo le modifiche.

https://www.ssllabs.com/ssldb/analyze.html

Controlla che hai

• cifre forti abilitate
• cifre deboli disabilitate
• la catena di certificati è completa e nell'ordine corretto

Per chiunque si trovi ad affrontare questo problema, il post di Shane ha funzionato, anche se ho dovuto includere anche il CAFile. Inoltre, durante la creazione della catena, assicurarsi di seguire le istruzioni per la denominazione dei file di questo articolo

Per determinare il nome file da utilizzare, è possibile utilizzare il programma c_hash fornito con OpenSSL (nella /usr/local/ssl/miscdirectory):

c_hash some_certificate.pem
a4644b49.0 => some_certificate.pem

Quindi, nel caso sopra, si rinominerebbe il file a4644b49.0.
(Nota che è uno zero, non la lettera 'O', dopo il punto nel nome del file.)

Se non si dispone del c_hashprogramma, è possibile eseguire il comando OpenSSL appropriato per determinare il valore hash:

openssl x509 -hash -noout -in some_certificate.pem
a4644b49

E se stai affrontando questo problema bc stai provando a utilizzare websocket con Android Cordova, assicurati di aggiungere manualmente wss alle tue cose di whitelist in Cordova, poiché * include solo http e https.