কেবলমাত্র কিছু ক্লায়েন্টের জন্য কীভাবে একটি এসএসএল শংসাপত্র কাজ করতে পারে?

Question

আমার হোস্টিং সরবরাহকারী সম্প্রতি পুরানোটিকে ভুল করে মেয়াদ শেষ হওয়ার পরে আমার ডোমেনের জন্য একটি SSL শংসাপত্র পুনরায় জারি করেছে এবং পুনরায় ইনস্টল করেছে ।

আমি এখন আবার এইচটিটিপিএসের মাধ্যমে ওয়েবসাইটটি ব্রাউজ করতে সক্ষম হয়েছি , এবং আমার হোস্টটিও তাই, এবং অন্যান্য অনেক ব্যবহারকারীও রয়েছেন।

তবে কিছু ব্যবহারকারী (শত শতের মধ্যে কমপক্ষে এক ডজন) Your connection is not secureবিভিন্ন ব্রাউজার এবং প্ল্যাটফর্মগুলিতে ত্রুটি বার্তা পাচ্ছেন । (আমি পুনরুত্পাদন করতে পারি না এমন সমস্যা নির্ণয় করা কঠিন প্রমাণিত হচ্ছে))

আমি বুঝতে পারি যে বিভিন্ন ব্রাউজারগুলি শংসাপত্র কর্তৃপক্ষের (সিএ) বিভিন্ন তালিকা ব্যবহার করে

1. আমি যেমন না হয়ে ফায়ারফক্সের একই সংস্করণটি চালাচ্ছি (ওএস এক্সের ৪৫.০.১) কীভাবে SEC_ERROR_UNKNOWN_ISSUERত্রুটি পাচ্ছে (কেবল আমার সাইটের জন্য) আমি না? কী এটা সম্ভব করে তোলে? বলেছিলেন ব্যবহারকারী তার ক্যাশে সাফ করে তার ল্যাপটপটি রিবুট করেছে।

---

আমি digicert.com এ একটি এসএসএল চেক চালিয়েছি । ফলাফল এটি:

এসএসএল শংসাপত্র বিশ্বস্ত নয়

শংসাপত্রটি কোনও বিশ্বস্ত কর্তৃপক্ষের দ্বারা স্বাক্ষরিত হয়নি (মজিলার মূল স্টোরের বিরুদ্ধে পরীক্ষা করা)। যদি আপনি কোনও বিশ্বস্ত কর্তৃপক্ষের কাছ থেকে শংসাপত্রটি কিনে থাকেন তবে আপনার সম্ভবত একটি বা একাধিক ইন্টারমিডিয়েট শংসাপত্র ইনস্টল করা দরকার। আপনার সার্ভার প্ল্যাটফর্মের জন্য এটি সহায়তা করার জন্য আপনার শংসাপত্র সরবরাহকারীর সাথে যোগাযোগ করুন।

2. যদি এই ক্ষেত্রে হয় তবে আমি কীভাবে এসএসএল ত্রুটি ছাড়াই সাইটের সাথে সংযোগ করতে সক্ষম হব?

Comments

My hosting provider has recently re-issued and re-installed an SSL certificate for my domain, after they let the old one expire by mistake.- কীভাবে আপনি এই দায়িত্ব তাদের হাতে রেখেছেন?

— জোয়কওয়ার্টি

কেবলমাত্র আমি সিসাদমিন না হওয়ার কারণে, আমি তাদের কাছ থেকে একটি পরিচালিত ডেডিকেটেড সার্ভার ভাড়া করি। (ছোট্ট পটভূমির গল্পের জন্য, আমি ব্যবসা চালানোর শীর্ষে ভাষা-শিখার উপাদান এবং কোড লিখি, তাই সিসাদমিনকে করাও আকর্ষণীয় হলেও আকর্ষণীয় এটি

— হ'ল

@ জোয়কওয়ার্টি: কারণ এটি তাদের কাজ? এই জিনিসগুলি তার জন্য বাছাই করতে তিনি আক্ষরিক তাদের অর্থ প্রদান করছেন।

— অরবিট

টুইটার

— জোয়কওয়ার্টি

bugzilla.mozilla.org/show_bug.cgi?id=399324 বাগ রিপোর্টটি ফায়ারফক্সে স্বয়ংক্রিয়ভাবে অন্তর্বর্তী সার্টিফিকেট ডাউনলোড করার জন্য সমর্থন অনুরোধ করছে। আলোচনার (এখন আট বছর দীর্ঘ) "আই আই এটি করে!" / "আইই এর সাথে জাহান্নাম করতে, আরএফসি বলেছে এটি alচ্ছিক!" / "দৃ Ever়তার নীতিটি কখনও শুনছেন?" / "তোমার সার্ভার কনফিগারেশন খারাপ হয় এবং আপনি উচিত মনে খারাপ!"

Answer 1

আপনার শংসাপত্রের শংসাপত্র শৃঙ্খলা অসম্পূর্ণ। সম্ভবত নতুন শংসাপত্র ইনস্টল করার সময় আপনার সরবরাহকারী কিছু মধ্যবর্তী শংসাপত্র ইনস্টল করতে ব্যর্থ।

বেশিরভাগ সময় এই জাতীয় মধ্যবর্তী শংসাপত্রগুলি কিছু পুরানো ব্রাউজার এবং অপারেটিং সিস্টেমের জন্য সমর্থন সরবরাহ করার জন্য, এসএসএল কর্তৃপক্ষ সরবরাহ করে। এটি কারণ, এটি যখন আপনার পক্ষে কাজ করে তখন এটি আপনার কিছু ক্লায়েন্টের পক্ষে কাজ করে না।

আপনার ওয়েবসাইটের সাথে এসএসএল সমস্যাগুলি যাচাই করার জন্য একটি দুর্দান্ত দুর্দান্ত ইউটিলিটি হ'ল এসএসএল্যাব দ্বারা SSL সার্ভার পরীক্ষা । আপনি উপরের লিঙ্কটিতে দেখতে পাচ্ছেন, কেবল এখানেই আপনার এখানে চেইন ইস্যু হচ্ছে না, তবে আপনার শংসাপত্র তৈরি করতে ব্যবহৃত স্বাক্ষর অ্যালগরিদমও একটি দুর্বল, আপনার ওয়েবসারভার এখনও পিডল আক্রমণের পক্ষে অবর্ণনীয় এবং এখনও আরসি 4 সমর্থন করে যা হ'ল অনিরাপদ হিসাবে বিবেচিত ...

আমি আপনার ওয়েব সার্ভার সরবরাহকারীর বিরুদ্ধে কিছু বলতে চাই না, তবে আপনার অবস্থানে আমি তাদের মেল করব, যে তারা এএসএপকে এই সমস্ত সমস্যা ঠিক করে দেয়, বা অন্য সরবরাহকারীতে পরিবর্তন করে ...

Comments

আপনাকে ধন্যবাদ, এটি খুব সহায়ক। নিছক কৌতূহলের বাইরে, ওএস এক্সের কোনও ক্লায়েন্ট এবং আমার হিসাবে ফায়ারফক্সের একই সংস্করণে SEC_ERROR_UNKNOWN_ISSUERআমি কেন নই? এটি কি তার ওএস সংস্করণটি আলাদা হতে পারে?

— ফ্যাবিয়েন স্নাউয়ার্ট

@ ফ্যাবিএনসনওয়ার্ট হ্যাঁ, আপনি যদি "হ্যান্ডশেক সিমুলেশন" এ স্ক্রোল করে থাকেন তবে এসএসএল ল্যাব পরীক্ষাটি বিভিন্ন ওএস / ব্রাউজার সংস্করণ সংমিশ্রণগুলি অনুকরণ করার চেষ্টা করবে। ব্রাউজারটি সম্পূর্ণরূপে নিজস্ব নিজস্ব এসএসএল সংযোগগুলি পরিচালনা করে না, তবে আংশিকভাবে ওএসের প্রয়োগের উপর নির্ভর করে। সুতরাং অবশ্যই ওএস সংস্করণটি একটি পার্থক্য করে।

— s1lv3r

এটি কেবল নয় যে ক্লায়েন্টদের সিএর বিভিন্ন তালিকা থাকতে পারে। এটিও সম্ভব যে কিছু ক্লায়েন্ট ইন্টারমিডিয়েট শংসাপত্রগুলি ক্যাশে করে যে কোনও অনুপস্থিত মধ্যবর্তী শংসাপত্র সহ একটি সাইট কাজ করতে পারে যদি ব্রাউজারটি ইতিমধ্যে সেই মধ্যবর্তী শংসাপত্রটি সঠিকভাবে কনফিগার করেছে এমন কোনও সাইট পরিদর্শন করেছে।

— কাস্পার্ড

এসএসএল্যাবস সাইটটি একটি দুর্দান্ত সরঞ্জাম। রেফারেন্সের জন্য ধন্যবাদ।

— প্যারাপলুই

Answer 2

কোনও শংসাপত্রকে বিশ্বাসযোগ্য করার জন্য, এটি অবশ্যই এমন কোনও সত্তার দ্বারা স্বাক্ষরিত হতে হবে যা আপনার ব্রাউজার / ওএস সংমিশ্রণ দ্বারা স্বয়ংক্রিয়ভাবে বিশ্বাসযোগ্য বা তার নিজস্ব পরিবর্তে এই জাতীয় কোনও সত্তা দ্বারা স্বাক্ষরিত হতে হবে। এটি সাধারণত কোনও বিশ্বস্ত রুট সিএ দ্বারা সম্পন্ন হয় যা মধ্যবর্তী সিএতে স্বাক্ষর করে এবং মধ্যবর্তী সিএ আপনার শংসাপত্রটিতে স্বাক্ষর করে। এটি এই জাতীয় শৃঙ্খলা তৈরি করে:

1. রুট সিএ যা আপনার কম্পিউটার এবং চিহ্ন দ্বারা বিশ্বাসযোগ্য
2. ইন্টারমিডিয়েট সিএ, যা স্বাক্ষর করে
3. আপনার শংসাপত্র, যা কেবল সিএ-তে ফিরে যাওয়ার শৃঙ্খলার কারণে বিশ্বাসযোগ্য।

এখানে সমস্যাটি মধ্যবর্তী সিএ শংসাপত্র নিয়ে। রুট সিএ-তে ফিরে সমস্ত পথ চেইনকে বৈধতা দিতে পারে তা নিশ্চিত করার জন্য, আপনার সরবরাহকারীর মধ্যবর্তী শংসাপত্রটিকে তার সার্ভার কনফিগারেশনে অন্তর্ভুক্ত করা উচিত। এই ক্ষেত্রে, তারা না।

এটি কিছু ব্যবহারকারীর জন্য কাজ করার কারণটি হ'ল তাদের নিজস্ব "বিশ্বাসের স্টোর" তে অন্তর্বর্তী শংসাপত্র রয়েছে। এই ক্ষেত্রে তারা আপনার শংসাপত্র গ্রহণ করবে কারণ তারা ইতিমধ্যে মধ্যবর্তীকে বিশ্বাস করে। তবে যেখানে আপনার দর্শকদের আলাদা ওএস / ব্রাউজার রয়েছে, তাদের মধ্যে অন্তর্বর্তী শংসাপত্র নেই, তাই তাদের এটি আপনার ওয়েবসার্ভারের কাছ থেকে নেওয়া দরকার - এবং আপনার ওয়েবসভারটি এটি হস্তান্তর করে না, সুতরাং তাদের কোনও উপায় নেই they এটি যাচাই করা।

Comments

আপনাকে ধন্যবাদ, এটি আমাকে এখন স্পষ্টভাবে সমস্যাটি দেখতে সহায়তা করে। আমার হোস্ট শংসাপত্রটি সংশোধন করার অপেক্ষায় যখন ব্যবহারকারীরা তাদের নিজের "ট্রাস্ট স্টোর" এর মধ্যে অন্তর্বর্তী শংসাপত্র যুক্ত করার জন্য কোন কৌশল আছে? উদাহরণস্বরূপ: অন্য কোনও এসএসএল সাইট পরিদর্শন করা যা এর উপর নির্ভর করে বা তাই?

— ফ্যাবিয়েন স্নাউয়ার্ট

দুর্ভাগ্যক্রমে, কোন কৌশল নেই কেবলমাত্র এমন কোনও সাইটে ভিজিট করা যাতে একই মাধ্যমিক শংসাপত্র রয়েছে; তাদের সত্যিকারের শংসাপত্রটি ডাউনলোড করতে হবে এবং ম্যানুয়ালি এটিকে তাদের ব্রাউজারে যুক্ত করতে হবে। আমি বিশ্বাস করি যে এই নির্দিষ্ট শংসাপত্রটি নতুন ব্রাউজারগুলিতে অন্তর্ভুক্ত রয়েছে - এটি ফায়ারফক্স ৪৫.০.১ এ কাজ করে তবে ৪৩.০.৪ এ নয়, সুতরাং এটি দুটি সংস্করণের মধ্যে কোথাও অন্তর্ভুক্ত করা হয়েছিল। সুতরাং আপনি যদি আপনার ক্লায়েন্টকে তাদের ব্রাউজারগুলি আপগ্রেড করতে পারেন তবে এটি সাহায্য করবে।

— জেনি ডি

@ জেনিডি ইন্টারমিডিয়েট শংসাপত্রগুলি আধুনিক ব্রাউজারগুলি দ্বারা ক্যাশে করা হয়, সুতরাং একই ইন্টারমিডিয়েট ব্যবহার করে এমন একটি ভিন্ন সাইট পরিদর্শন করা মোটামুটি কাজ করার সম্ভাবনা রয়েছে। তবে এটি তাদের ব্যবহারকারীদের কাছে জিজ্ঞাসা করা উচিত এমন কিছু নয় ... (দেখুন: bugzilla.mozilla.org/show_bug.cgi?id=629558 , sslmate.com/blog/post/chrome_cached_sha1_chains )

— বব

Answer 3

আপনি যদি HTTP সার্বজনীন কী পিনিং ব্যবহার করছেন এবং আপনার সরবরাহকারী আপনাকে একটি নতুন শংসাপত্র দিয়েছিলেন, সর্বজনীন কীগুলি ইতিমধ্যে পরিবর্তিত হতে পারে। আপনার নির্দিষ্ট সময়কালের জন্য এই কীগুলি ক্লায়েন্টের ব্রাউজারে সংরক্ষণ করা হয়।