Quais sistemas operacionais são fornecidos com StartCom_Certification_Authority.pem

1

Eu comprei alguns certificados HTTPS (baratos) do StartSSL. Eles funcionam muito bem em todos os navegadores que testei. De acordo com este post , eles são até reconhecidos no IE 7 e 8, o que é bom o suficiente para mim.

No entanto, um usuário reclamou que seu cliente / agregador de RSS do WordPress parou de funcionar. O site dele executa a versão mais recente do Wordpress e do simplepie , mas não reconhece a CA da StartCom:

WP HTTP Error: SSL certificate problem, verify that the CA cert is OK. Details: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed 

Eu assumo que o site wordpress dele roda em alguma caixa linux de serviço de hospedagem compartilhada. Então, agora estou curioso, quais versões do Debian, Ubuntu, RHEL, Fedora, FreeBSD, etc, incluem o certificado raiz StartCom?

    
por Jeroen 12.02.2014 / 23:22

2 respostas

3

O principal problema parece ser que você atua no www.opencpu.org o certificado correto para o cliente que suporta SNI (Server Name Indication), por exemplo, que envia o nome do servidor esperado no handshake SSL. Mas para os clientes que não usam o SNI, você envia um certificado para dev1.opencpu.org, que não corresponde ao nome nem é assinado por uma CA confiável, mas é autoassinado. Mas enquanto o navegador atual suporta SNI, algumas bibliotecas de script não o fazem.

Como você fornece um certificado curinga para * .opencpu.org para clientes que usam SNI, eu recomendaria apenas remover o certificado dev1.opencpu.org, porque esse nome de host também corresponde ao certificado * .opencpu.org.

Para fazer também o trabalho demo.ocpu.io é mais difícil. Este nome resolve para o mesmo IP que o opencpu.org e, assim, os clientes que não suportam o SNI obtêm o certificado autoassinado para dev1.opencpu.org com os mesmos problemas, por ex. incompatibilidade de nome e CA não confiável Se você precisar suportar este nome de host para o cliente que não suporta o SNI, será necessário usar um endereço IP diferente.

    
por 13.02.2014 / 07:07
2

Esse erro pode acontecer se você ainda não tiver adicionado o certificado de CA intermediário do StartSSL à sua instalação. Consulte as FAQ da StartSSL sobre isso, ou anexe (ou anexe, eu sempre esqueço qual) o certificado intermediário ao seu certificado do servidor dentro do arquivo de certificado.

    
por 12.02.2014 / 23:32