Certificado SSL autofirmado no válido: "Falta el nombre alternativo del sujeto"

Recientemente, Chrome dejó de funcionar con mis certificados SSL autofirmados y cree que no son seguros. Cuando miro el certificado en la DevTools | Securitypestaña, puedo ver que dice

Falta el nombre alternativo del sujeto El certificado de este sitio no contiene una extensión de nombre alternativo del sujeto que contenga un nombre de dominio o una dirección IP.

Error de certificado Hay problemas con la cadena de certificados del sitio (net :: ERR_CERT_COMMON_NAME_INVALID).

¿Cómo puedo arreglar esto?

Para solucionar este problema, debe proporcionar un parámetro adicional opensslcuando esté creando el certificado, básicamente

-sha256 -extfile v3.ext

donde v3.extes un archivo como ese, %%DOMAIN%%reemplazado con el mismo nombre que usa como su Common Name. Más información aquí y aquí . Tenga en cuenta que normalmente establecería Common Namey %%DOMAIN%%en el dominio para el que está intentando generar un certificado. Entonces, si lo fuera www.mysupersite.com, entonces lo usarías para ambos.

v3.ext

authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = %%DOMAIN%%

Nota: Los scripts que abordan este problema y crean certificados ssl totalmente confiables para usar en Chrome, Safari y desde clientes Java se pueden encontrar aquí.

Otra nota : si todo lo que está tratando de hacer es evitar que Chrome arroje errores al ver un certificado autofirmado, puede decirle a Chrome que ignore todos los errores de SSL para TODOS los sitios iniciándolo con una opción de línea de comando especial, como se detalla aquí en SuperUser

La siguiente solución funcionó para mí en Chrome 65 ( ref ) -

Cree un archivo de configuración de OpenSSL (ejemplo: req.cnf)

[req]
distinguished_name = req_distinguished_name
x509_extensions = v3_req
prompt = no
[req_distinguished_name]
C = US
ST = VA
L = SomeCity
O = MyCompany
OU = MyDivision
CN = www.company.com
[v3_req]
keyUsage = critical, digitalSignature, keyAgreement
extendedKeyUsage = serverAuth
subjectAltName = @alt_names
[alt_names]
DNS.1 = www.company.com
DNS.2 = company.com
DNS.3 = company.net

Cree el certificado que hace referencia a este archivo de configuración

openssl req -x509 -nodes -days 730 -newkey rsa:2048 \
 -keyout cert.key -out cert.pem -config req.cnf -sha256

Script de Bash

Creé un script bash para facilitar la generación de certificados TLS autofirmados que son válidos en Chrome.

• script de bash autofirmado-tls

Probado Chrome 65.xy todavía funciona. Asegúrese de reiniciar Chrome después de instalar nuevos certificados.

chrome://restart

Otros recursos

Otra herramienta (mucho más robusta) que vale la pena revisar es el cfsslkit de herramientas de CloudFlare :

• cfssl

Simplemente uso el -subjparámetro agregando la dirección IP de la máquina. Así que resuelto con un solo comando.

sudo openssl req -x509 -nodes -days 3650 -newkey rsa:2048 -sha256 -subj '/CN=my-domain.com/subjectAltName=DNS.1=192.168.0.222/' -keyout my-domain.key -out my-domain.crt

Puede agregar otros atributos como C, ST, L, O, OU, emailAddress para generar certificados sin que se le solicite.

Tuve muchos problemas para que los certificados autofirmados funcionaran en macos / Chrome. Finalmente encontré Mkcert, "Una herramienta simple de configuración cero para crear certificados de desarrollo de confianza local con cualquier nombre que desee". https://github.com/FiloSottile/mkcert

• Haga una copia de su configuración de OpenSSL en su directorio de inicio:

  cp /System/Library/OpenSSL/openssl.cnf ~/openssl-temp.cnf
  

  o en Linux:

  cp /etc/ssl/openssl.cnf ~/openssl-temp.cnf
  

• Agregue el nombre alternativo del sujeto a openssl-temp.cnf, debajo de [v3_ca]:

  [ v3_ca ]
  subjectAltName = DNS:localhost
  

  Reemplácelo localhostpor el dominio para el que desea generar ese certificado.

• Generar certificado:

  sudo openssl req -x509 -nodes -days 365 -newkey rsa:2048 \
      -config ~/openssl-temp.cnf
      -keyout /path/to/your.key -out /path/to/your.crt
  

A continuación, puede eliminar openssl-temp.cnf

Pude deshacerme de (net :: ERR_CERT_AUTHORITY_INVALID) cambiando el valor DNS.1 del archivo v3.ext

[alt_names] DNS.1 = nombre de dominio.com

Cambie domainname.com con su propio dominio.

Aquí hay una forma muy sencilla de crear un certificado IP en el que Chrome confiará.

El archivo ssl.conf ...

[ req ]
default_bits       = 4096
distinguished_name = req_distinguished_name
req_extensions     = req_ext
prompt             = no

[ req_distinguished_name ]
commonName                  = 192.168.1.10

[ req_ext ]
subjectAltName = IP:192.168.1.10

Donde, por supuesto, 192.168.1.10 es la IP de red local en la que queremos que Chrome confíe.

Crea el certificado:

openssl genrsa -out key1.pem
openssl req -new -key key1.pem -out csr1.pem -config ssl.conf
openssl x509 -req -days 9999 -in csr1.pem -signkey key1.pem -out cert1.pem -extensions req_ext -extfile ssl.conf
rm csr1.pem

En Windows, importe el certificado en Trusted Root Certificate Store en todos los equipos cliente. En un teléfono o tableta Android, descargue el certificado para instalarlo. Ahora Chrome confiará en el certificado en Windows y Android.

En el cuadro de desarrollo de Windows, el mejor lugar para obtener openssl.exe es desde "c: \ Archivos de programa \ Git \ usr \ bin \ openssl.exe"

en MAC partir de Chrome Versión 67.0.3396.99 mi certificado autofirmado dejó de funcionar.

regeneración con todo lo que está escrito aquí no funcionó.

ACTUALIZAR

tuve la oportunidad de confirmar que mi enfoque funciona hoy :). Si no funciona para usted, asegúrese de que está utilizando este enfoque

v3.ext
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = <specify-the-same-common-name-that-you-used-while-generating-csr-in-the-last-step>
$

copiado de aquí https://ksearch.wordpress.com/2017/08/22/generate-and-import-a-self-signed-ssl-certificate-on-mac-osx-sierra/

FIN DE ACTUALIZAR

finalmente fue capaz de ver el color verde seguro sólo cuando eliminado mi certificado de sistema , y añadido a locales llavero. (si hay uno, déjelo caer primero). No estoy seguro de si importa, pero en mi caso descargué el certificado a través de Chrome y verifiqué que la fecha de creación es hoy, por lo que es el que acabo de crear.

Espero que sea útil para alguien que le dedique un día.

¡Nunca actualice Chrome!

Si desea ejecutar su servidor localhost, debe configurar CN = localhosty DNS.1 = localhost.

[req]
default_bits = 2048
default_md = sha256
distinguished_name = req_distinguished_name
prompt = no
prompt = no
x509_extensions = v3_req

[req_distinguished_name]
C = BR
CN = localhost
[email protected]
L = Sao Paulo
O = example.com
OU = example.com
ST = Sao Paulo

[v3_req]
authorityKeyIdentifier = keyid, issuer
basicConstraints = CA:FALSE
extendedKeyUsage = serverAuth
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
subjectAltName = @alt_names

[alt_names]
DNS.1 = localhost