O certificado não é confiável porque nenhuma cadeia do emissor foi fornecida

Question

Alguém poderia explicar o significado dessa mensagem de erro em plain english ?

Devo adicionar uma exceção ou devo não continuar neste site?

Detalhes técnicos: o URL é aqui , o navegador é o Firefox 14.0.1 no Ubuntu 12.04 LTS .

O Konqueror 4.8.2 diz para o mesmo link:
O certificado da autoridade de certificação é inválido
O certificado da autoridade de certificação raiz não é confiável para essa finalidade

UPDATE: Eu não fiz nada com o meu navegador e agora funciona magicamente, sem mensagem de erro. Um mistério.     

Answer 1

Parece que você está perdendo uma CA intermediária (autoridade de certificação).

Os certificados só são confiáveis porque são assinados por uma autoridade de certificação confiável (o emissor), que por sua vez é assinada por outra CA confiável, até os listados como explicitamente confiáveis por qualquer verificá-los (uma CA raiz). Os navegadores (e sistemas operacionais) vêm com uma lista de CAs raiz. Consulte aqui para obter mais detalhes. A Wikipédia também tem uma explicação muito boa de praticamente todos os aspectos.

O certificado do website aparece para especificar AlphaSSL como seu emissor, que por sua vez especifica GlobalSign Root CA . Então essa é a cadeia - o certificado do site não menciona GlobalSign Root CA em nenhum lugar, então se qualquer um dos dois na cadeia estiver faltando, o Firefox irá reclamar.

VocêpoderiaverificarseoGlobalSign/AlphaSSLexistenasualistadeautoridadesdecertificaçãodoFirefox?

1. AbraoGerenciadordecertificados(Tools=>Options=>Advanced=>Encryption=>ViewCertificates)

2. VerifiquenaguiaAuthoritiesdoAlphaSSLCA-G2.DeveestarabaixodeGlobalSignnv-sa.

   VerifiquetambémporGlobalSignRootCA.

3. Selecione GlobalSign Root CA , clique em Edit Trust e verifique se é permitido identificar sites. Pelo menos para mim, o AlphaSSL não tinha essa permissão.

Se as CAs raiz estiverem faltando, tente redefinir seu armazenamento de certificados . Basicamente, exclua (ou renomeie) cert8.db , secmode.db e cert_override.txt da sua pasta de perfil .

Se o certificado intermediário estiver ausente, bem, é responsabilidade do operador do servidor servir o certificado intermediário junto com a raiz. Você deve contatá-los e avisá-los. Se você quiser, pode pegar o certificado intermediário em outro lugar - esses sites às vezes funcionam para algumas pessoas porque eles têm um intermediário em cache que já é confiável.

Você também pode tentar limpar seu cache no Firefox.

Isso também pode ser um problema com a falta de CA nos armazenamentos do sistema, o que explicaria por que o Konqueror também é afetado. Eu sei que, pelo menos no Windows, o Firefox ignora o armazenamento de certificados do sistema. Eu não estou familiarizado com a forma como o Ubuntu (ou o Firefox no Ubuntu) gerencia os certificados, mas o problema é o mesmo: parece estar faltando uma CA. Você precisará adicioná-lo.

Como alternativa, você pode adicionar o certificado do site à lista de exceções. Como você está perdendo uma CA, há uma chance de que outros sites exibam um erro semelhante - a única razão para não adicionar a CA é se você não confiar neles. O certificado deste site parece ser válido, pelo menos de acordo com o meu sistema (embora as CAs possam revogar certificados). Claro, a menos que você possa de alguma forma verificar um certificado como válido, não adicione uma exceção .

    

Answer 2

Alguns sites seguros com certificados de autoridades confiáveis têm configuração incorreta, de modo que não incluem uma cadeia de certificados de confiança intermediários ao servir seu próprio certificado.

Se você tiver um sistema / navegador que tenha visto sua parcela de certificados válidos, esses intermediários já poderão estar armazenados em cache e você não receberá mensagens de erro, mesmo que a configuração do servidor da web ainda esteja errada, conforme descrito acima.

No entanto, se você estiver usando um navegador recém-instalado em um sistema novo, e esses intermediários ainda não tiverem sido armazenados em cache e o certificado apresentado pelo servidor da web não tiver uma cadeia de intermediários apropriada, você receberá um erro mensagem.

Aqui está uma explicação oficial de um desenvolvedor Mozilla em uma lista de discussão do Mozilla.org:

link

Resumindo: a culpa é do site, mesmo que isso aconteça apenas no seu navegador recém-instalado, e funcione bem em outro lugar.

Como eles consertaram isso em inglês:

Eles compraram o certificado de um revendedor de confiança e seu servidor da Web deve estar exibindo apenas um certificado próprio - no qual o navegador não confia diretamente, pois o compraram de um revendedor que você nunca ouviu falar de.

Agora, em vez de exibir apenas um certificado, eles veiculam dois direitos ao mesmo tempo - os seus próprios ("* .upc.biz") e de algum revendedor certificado ("AlphaSSL CA - G2") e o certificado de tal revendedor completa a confiança, uma vez que você agora vê que alguém em quem você confia ("GlobalSign Root CA") atesta esse revendedor de confiança.

Você pode ver mais detalhes sobre os nomes exatos envolvidos aqui:

link

Alguns outros sites compram seus certificados diretamente de uma autoridade confiável, e não de um revendedor, portanto, eles só precisam exibir seu próprio certificado, e tudo ainda será muito útil.

Por exemplo, o linode.com comprou seu certificado diretamente da Equifax, que a Mozilla confia diretamente, portanto, não há necessidade de a Linode incluir cópias de outros certificados além dos seus.

    

Answer 3

Could anyone explain the meaning of this error message in plain English?

upc.biz quer que você digite detalhes pessoais

Para garantir que o upc.biz é um site que está sendo executado pelo UPC, o upc.biz apresentou a você um certificado dizendo "você pode confiar no upc.biz, eu atesto isso", assinou Joe Smith.

Você não tem idéia de quem é Joe Smith. Você tem uma lista de assinaturas de pessoas que Microsoft O projeto Mozilla diz que você provavelmente pode confiar para apresentá-lo a outras pessoas que provavelmente são quem eles dizem que são, Joe smith isn Nessa lista de assinaturas (Autoridades de Certificação).

O certificado é, portanto, sem valor

Você pode testar isso cortando todo o seu URL upc.biz e colando-o no testador de certificados no link - embora que é destinado a pessoas que configuram certificados em sites como o upc.biz, não em pessoas que acessam esses sites.

Além disso, o link é uma boa leitura.