O que há de errado com este certificado SSL?

Question

Estou executando um aplicativo de servlet Java com o Jetty. Agora eu queria torná-lo mais amigável e exigir um certificado. Após a importação (veja acima), o navegador (FF) ainda recupera um certificado auto-assinado não seguro.

Isso deve funcionar agora ou há algo mais a fazer? Obrigado.

$ keytool -list -keystore key.ks -v
Enter keystore password:  **************

Keystore type: jks
Keystore provider: SUN

Your keystore contains 1 entry

Alias name: mydomain
Creation date: Aug 16, 2009
Entry type: keyEntry
Certificate chain length: 2
Certificate[1]:
Owner: CN=mydomain.com, OU=Domain Validated, OU=Thawte SSL123 certificate, OU=Go to https://www.thawte.com/repository/index.html, O=mydomain.com
Issuer: [email protected], CN=Thawte Server CA, OU=Certification Services Division, O=Thawte Consulting cc, L=Cape Town, ST=Western Cape, C=ZA
Serial number: 96a433bf5512025b067f68b95427588
Valid from: Wed Aug 12 02:00:00 CEST 2009 until: Fri Aug 13 01:59:59 CEST 2010
Certificate fingerprints:
         MD5:  24:43:CD:2D:38:1C:BF:17:97:8E:01:86:D8:74:C6:E7
         SHA1: AA:54:C0:72:36:2E:AA:03:E7:E4:1F:F8:A0:DA:60:29:EE:FC:E0:2E
Certificate[2]:
Owner: [email protected], CN=Thawte Server CA, OU=Certification Services Division, O=Thawte Consulting cc, L=Cape Town, ST=Western Cape, C=ZA
Issuer: [email protected], CN=Thawte Server CA, OU=Certification Services Division, O=Thawte Consulting cc, L=Cape Town, ST=Western Cape, C=ZA
Serial number: 1
Valid from: Thu Aug 01 02:00:00 CEST 1996 until: Fri Jan 01 00:59:59 CET 2021
Certificate fingerprints:
         MD5:  C5:70:C4:A2:ED:53:78:0C:C8:10:53:81:64:CB:D0:1D
         SHA1: 23:E5:94:94:51:95:F2:41:48:03:B4:D5:64:D2:A3:A3:F5:D8:8B:8C


*******************************************
*******************************************

    

Answer 1

Você tem uma única entrada no seu armazenamento de chaves com dois certificados; seu certificado e o certificado raiz que o assinou. Está reclamando do certificado raiz, que é auto-assinado:

Owner: [email protected], 
      CN=Thawte Server CA, OU=Certification Services Division, 
      O=Thawte Consulting cc, L=Cape Town, ST=Western Cape, C=ZA
Issuer: [email protected], 
      CN=Thawte Server CA, OU=Certification Services Division, 
      O=Thawte Consulting cc, L=Cape Town, ST=Western Cape, C=ZA

O Proprietário e o Emissor são os mesmos. Isto é esperado; certificados raiz são certificados auto-assinados nos quais você confia explicitamente.

Você precisa ter certeza de que no Firefox você verá esses dois certificados. O Jetty deve enviar os dois certificados para o navegador e você deve poder ver a hierarquia ao observar as informações SSL da página. Você também precisa certificar-se de que o certificado raiz esteja na lista de certificados em que o Firefox confia. Eu verifiquei o meu e é definitivamente lá no meu navegador.