Zertifikatsprobleme mit Chrome und Edge

[Emmermacher 15]

Hallo.

Mit einer meiner internen Webseiten habe ich Probleme mit Chrome und Egde. Beim Aufruf bekomme ich in Chrome NET::ERR_CERT_COMMON_NAME_INVALID 

angezeigt. Den Browsercache habe ich bereits gelöscht, ebenso den SSL-Status.

Lässt man sich die Zertifikate anzeigen, sind diese gültig.

Wir haben vor kurzem das Root-Zertifikat unserer CA verlängert und danach anfangen, demnächst ablaufende Zertifikate zu erneuern.

Erstellt werden die CSR mit openssl auf einem Linux Server, der auch die entsprechenden Webseiten hält. Mit dem gleichen private Key wurde ein zweites Zertifikat für diesen Server erstellt. Das funktioniert ohne Probleme.

Firefox und IE11 meckern gar nicht.

In älteren Versionen von Chrome gab es da wohl mal einen Bug. Habt ihr Ideen , woran das liegen kann? Schlüssellänge beträgt 2048 Bytes.

 

Vielen Dank im Voraus für Eure Antworten

 

LG

 

Dirk Emmermacher

 

[zahni 587]

Du musst bei Chrome einen DNS-Alias mitgeben. 

[Emmermacher 15]

vor 4 Stunden schrieb zahni:

Du musst bei Chrome einen DNS-Alias mitgeben. 

Hallo Richard.

Danke für Deine Antwort.

Da habe eine conf-Datei erstellt:

[req]
default_bits = 2048
default_keyfile = key.pem
encrypt_key = no
utf8 = yes
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no

[req_distinguished_name]
C = DE
ST = Bundesland
L = Stadt
O  = Firma
CN = server.my.internaldomain

[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1 = server.my.internaldomain
DNS.2 = my.internaldomain

 

Weiter geholfen hat das auch nicht :(

Das andere Zertifikat wurde ohne Konfig erstellt. Das wird akzeptiert. Die conf-Datei hatte ich erst erstellt, nachdem es ohne nicht lief.

Bei manchen Phänomenen würden einen glatt noch graue Haare wachsen, wenn man nicht sowieso schon welche hätte ;)

 

LG

 

Dirk

 

[zahni 587]

In einer Windows-CA für interne Server und einem geeigneten Template, auf dass der Server berechtigt ist, mache ich es normalerweise im Request so:

 

 

 

PS: Ich bin nicht Richard Kiel, der ist leider schon tot.

bearbeitet 6. Juli 2021 von zahni

[Emmermacher 15]

@zahni Da mache ich morgen weiter. Das Zertifikat, das ich mit der Windows-CA erstellt hatte, will nicht so richtig.

 

By the way: Richard Kiel musste ich erst mal googlen...

 

Schönen Feierabend :)

 

Dirk