O SHA-1 do Chrome deve corresponder ao OpenSSL?

Question

Se eu comparar o SHA-1 exibido para o certificado do link no Chrome:

79 72 28 12 74 83 85 DE 3C B0 DE E7 A4 C3 14 BE B4 93 79 6E

com o apresentado pelo OpenSSL:

$ echo -n | openssl s_client -connect 0000.jp:443 2>/dev/null | openssl x509 -noout -fingerprint
SHA1 Fingerprint=79:72:28:12:74:83:85:DE:3C:B0:DE:E7:A4:C3:14:BE:B4:93:79:6E

então eu recebo o mesmo valor.

Se eu fizer o mesmo para o link , o Chrome mostrará:

06 4B 11 0D 63 4A 83 E2 6B 1A 12 19 EC 04 46 F3 7C 3A 01 D7

enquanto o OpenSSL mostra:

$ echo -n | openssl s_client -connect google.co.uk:443 2>/dev/null | openssl x509 -noout -fingerprint
SHA1 Fingerprint=3F:6D:D9:AB:60:92:1E:EE:D3:4C:C7:36:04:49:B2:FA:F9:E5:2D:92

Não há avisos no Chrome e suponho que a NSA / Russos / Coréia do Norte não sejam tão responsáveis quanto um erro da minha parte ... então, qual é a razão da diferença?

    

Answer 1

Eles são certificados diferentes. O Google, por qualquer motivo técnico e administrativo, usa muitos certificados SSL diferentes de várias origens diferentes.

Provavelmente seus dois testes atingiram dois servidores do Google diferentes. Eles têm muitos servidores com vários métodos de balanceamento de carga, portanto, os pedidos nem sempre vão para o mesmo servidor.

Experimentar os dois métodos de visualizar o certificado conectando-se ao mesmo endereço IP em vez do domínio pode fazer com que eles se conectem ao mesmo servidor e mostrem o mesmo hash.

Desde que ambos os certificados sejam válidos, não mostrem nenhum aviso e sejam provenientes de autoridades de certificação bem conhecidas, está tudo bem. Nada para se preocupar.