Проверка сертификата завершается сбоем, если сертификат имеет несколько доверенных путей сертификации к корневым ЦС
В этой статьи описаны пути обхода проблемы, из-за которой сертификат безопасности, предоставленный веб-сайтом, не выдается при наличии для него нескольких доверенных путей сертификации к корневым ЦС.
Применимо к: Windows Server 7 с пакетом обновления 1, Windows Server 2012 R2
Оригинальный номер базы знаний: 2831004
Симптомы
Когда пользователь пытается получить доступ к защищенному веб-сайту, в его браузере появляется следующее предупреждение:
Возникла проблема с сертификатом безопасности этого веб-сайта.
Сертификат безопасности, представленный этим веб-сайтом, не был выпущен доверенным центром сертификации.
Нажав Продолжить открытие этого веб-узла (не рекомендуется), пользователь может перейти к защищенному веб-сайту.
Причина
Эта проблема возникает из-за того, что сертификат веб-сайта имеет на веб-сервере несколько доверенных путей сертификации.
Предположим, что используемый компьютер клиента доверяет Сертификату корневого ЦС (2). Веб-сервер доверяет Сертификату корневого (1) и Сертификату корневого ЦС (2). Кроме того, сертификат имеет следующих два пути сертификации к доверяемым корневым ЦС веб-сервера:
- Путь сертификации 1: Сертификат веб-сайта — Сертификат промежуточного ЦС — Сертификат корневого ЦС (1)
- Путь сертификации 2: Сертификат веб-сайта — Сертификат промежуточного ЦС — Перекрестный сертификат корневого ЦС — Сертификат корневого ЦС (2)
Если в процессе проверки сертификата компьютер обнаруживает несколько доверенных путей сертификации, Microsoft CryptoAPI выбирает оптимальный путь сертификации, вычисляя оценку каждого пути. Оценка вычисляется на основе качества и количества данных, которые может предоставить сертификат. Если несколько путей сертификации получают одинаковую оценку, выбирается наиболее короткий путь.
Если у пути сертификации 1 и пути сертификации 2 одинаковая оценка, CryptoAPI выбирает самый короткий путь (путь сертификации 1) и отправляет его клиенту. Тем не менее, компьютер клиента может подтвердить сертификат только используя более длинный путь сертификации, который ведет к сертификату корневого ЦС (2). Это приводит к сбою сертификации.
Обходной путь
Чтобы обойти эту проблему, удалите или отключите из пути сертификации ненужный сертификат, выполнив следующие действия:
- Авторизуйтесь на веб-сервер от имени системного администратора
- Добавьте оснастку «Сертификат» в консоль управления Microsoft, выполнив следующие действия:
- Выберите Пуск>Выполнить, введите команду mmc и нажмите клавишу ВВОД.
- В меню Файл щелкните Добавить или удалить оснастку.
- Выберите Сертификаты» нажмите Добавить, выберите Учетная запись компьютера и нажмите Далее.
- Выберите Локальный компьютер (компьютер, на котором открыта консоль), и нажмите Готово.
- Нажмите кнопку ОК.
Примечание. Если сертификат является корневым сертификатом ЦС, он находится в Доверенные корневые ЦС. Если сертификат является сертификатом промежуточного ЦС, он находится в разделе Промежуточные ЦС.
- Для удаления сертификата щелкните его имя правой кнопкой мыши и выберите Удалить.
- Чтобы отключить сертификат, щелкните его правой кнопкой мыши, выберите Свойства, нажмите Отключить все цели для этого сертификата и выберите ОК.
Кроме того, если параметр групповой политики Выключить автоматическое обновление корневых сертификатов отключен или не настроен на сервере, сертификат из ненужного пути сертификации может быть установлен или включен при следующем построении цепочки. Чтобы настроить данный параметр групповой политики, выполните следующие действия:
- Нажмите Пуск>Выполнить, введите команду gpedit.msc и нажмите клавишу ВВОД.
- Разверните область Конфигурация компьютера>Административные шаблоны>Управление>Управление связью через Интернет и нажмите Параметры связи через Интернет.
- Дважды щелкните Выключить автоматическое обновление корневых сертификатов, выберите Включено и нажмите кнопку ОК.
- Закройте редактор локальных групповых политик.
Статус
Такое поведение является особенностью данного продукта.
Отключить проверку сертификатов Google Chrome
Ранее пользователи браузера в ходе интернет-серфинга замечали, что у них время от времени появляется ошибка, при которой Google Chrome ругается на сертификат безопасности (SSL). В результате определенные веб-сайты открыть было попросту невозможно. Но в настоящий момент ситуация несколько изменилась. Разберемся со всем более подробно.
Подробности
Теперь уже ошибка с сертификатами на интернет-страницах Хрома выглядит следующим образом:
К сожалению, деактивировать ее отображение больше никак не выйдет. Зато, можно обойти. И делается это следующим образом:
- Перейдите на заблокированный ресурс.
- Нажмите на кнопку «Дополнительные».
- Кликните ЛКМ по надписи «Перейти на сайт…».
- Дождитесь загрузки страницы.
Дополнение
Но все же мы обошли стороной вопрос: «Можно ли отключить проверку сертификатов Chrome?». Связано это с тем, что ответ на него отрицательный. В настоящий момент данный инструмент защиты браузера деактивировать невозможно, и старые методы, к сожалению, больше не работают.
Но все же есть один момент, на котором стоит заострить внимание. Дело в том, что нередко ошибки безопасности в ходе загрузке сайтов связаны не с их угрозой для пользовательской информации, а с неправильными датой и временем, выставленными в системе.
Поэтому мы предлагаем на всякий случай включить автонастройку данных параметров. Выполните следующие шаги:
- Нажмите сочетание клавиш Win + R . В результате откроется системный инструмент «Выполнить».
- Введите в текстовое поле timedate.cpl.
- Подтвердите выполнение команды.
- В появившемся окошке перейдите во вкладку «Время по Интернету».
- Кликните на кнопку «Изменить параметры…».
- Отметьте галочкой опцию «Синхронизировать с сервером времени в Интернете».
- Далее, нажмите на «Обновить сейчас».
- А потом на «ОК».
Отключение предупреждений о самозаверенных сертификатах
Сертификат сервера, подписанный только владельцем веб-сайта, называется самозаверенным сертификатом. Приложения клиента, например, веб-браузер, который выполняет доступ к ресурсам с HTTPS-безопасностью на веб-сайте, использующем самозаверенный сертификат SSL, выдаст предупреждение, что сайт нельзя верифицировать как надежный. В приведенном ниже разделе описан процесс отключения предупреждений о самозаверенных сертификатах.
Чтобы отменить появление предупреждений самозаверенного сертификата доменный компонент URL-адреса ArcGIS Server должен совпадать со свойством (параметром) Общее имя (Common Name) этого сертификата. Чтобы узнать, как настроить это свойство, см. Рекомендации по использованию сертификатов сервера.
Например, для подключения к сайту ArcGIS Server с использованием URL-адреса https://www.gisserver.domain.com:6443/arcgis/ , общим именем сертификата должно быть www.gisserver.com .
Для доступа к сайту ArcGIS Server в локальной сети (LAN) можно использовать самозаверенный сертификат с общим именем gisserver, чтобы подключаться к этому сайту, используя URL https://gisserver.domain.com:6443/arcgis/ .
Отключение предупреждений в веб-браузерах
В следующих разделах описывается, как отключить предупреждения в наиболее популярных веб-браузерах.
Отключение предупреждений в Google Chrome
При подключении к сайту ArcGIS Server с использованием самозаверенного сертификата, Chrome покажет предупреждение, что это подключение не является безопасным, а часть https URL-адреса будет отображаться красным перечеркнутым текстом.
- Нажмите Дополнительно под предупреждающим сообщением. В другом сообщении содержится информация о домене, к которому вы обращаетесь, и о домене, на который распространяется данный сертификат безопасности (например, *.mydomain.com ).
- Убедитесь, что это домен вашего самозаверенного сертификата.
- Нажмите ссылку Продолжить под сообщением.
После выполнения этих шагов страница с предупреждением больше не будет появляться на сайте сервера, но красный текст и сообщение Не безопасный в строке URL-адреса останутся.
Отключение предупреждений в Microsoft Edge
При подключении к сайту ArcGIS Server с использованием самозаверенного сертификата, Microsoft Edge отображает предупреждение о том, что имеется проблема с сертификатом безопасности данного сайта. Для отключения данного уведомления следуйте приведенным ниже инструкциям:
- Нажмите Дополнительно под предупреждающим сообщением. В другом сообщении содержится информация о домене, к которому вы обращаетесь, и о домене, на который распространяется данный сертификат безопасности (например, *.mydomain.com ).
- Убедитесь, что это домен вашего самозаверенного сертификата.
- Нажмите ссылку Продолжить под сообщением.
После выполнения этих шагов страница с предупреждением больше не будет появляться на сайте сервера, но красный текст и сообщение Не безопасный в строке URL-адреса останутся.
Отключение предупреждений в Mozilla Firefox
При подключении к сайту ArcGIS Server с использованием самозаверенного сертификата, Mozilla Firefox отображает предупреждение о том, что данное подключение не является доверенным.
Для отключения данного уведомления следуйте приведенным ниже инструкциям:
- Щелкните Дополнительно и выберите Принимаю риск, чтобы продолжить . В другом сообщении содержится информация о домене, к которому вы обращаетесь, и о домене, на который распространяется данный сертификат безопасности (например, *.mydomain.com ).
- Убедитесь, что это домен вашего самозаверенного сертификата.
- Щелкните Принимаю риск, чтобы продолжить .
После выполнения этих шагов страница с предупреждением больше не будет появляться на сайте сервера, но значок этого предупреждения в адресной строке останется.
Отключение предупреждений в Safari
При подключении к сайту ArcGIS Server с использованием самозаверенного сертификата, Safari покажет предупреждение, что данное подключение не является безопасным, а часть https URL-адреса будет отображаться красным перечеркнутым текстом.
Для отключения данного уведомления следуйте приведенным ниже инструкциям:
- Щелкните Показать детали под предупреждающим сообщением. В другом сообщении содержится информация о домене, к которому вы обращаетесь, и о домене, на который распространяется данный сертификат безопасности (например, *.mydomain.com ).
- Убедитесь, что это домен вашего самозаверенного сертификата.
- Щелкните ссылку Посетить этот веб-сайт под сообщением и нажмите Посетить веб-сайт , когда появится сообщение с подтверждением.
После выполнения перечисленных шагов страница с предупреждением больше не будет отображаться для этого сайта.
В этом разделе
Как удалить сертификат из браузера?
В окне выбрать вкладку « Ваши сертификаты » , выделить ненужный сертификат и удалить.
Удаление Сертификата аутентификации в Chrome
Для установки сертификата аутентификации в браузер Chrome, необходимо открыть браузер, в панели меню нажать «Инструменты» → «Настройки».
В открывшемся диалоговом окне на вкладке «Дополнительные» → «Настроить Сертификаты» → «Личные», выберите необходимый сертификат и нажмите «Удалить».
- Нет меток