Chrome 61中客户端证书被拒绝

Question

我已经有一个运行了很长时间的网站，使用自动生成的客户端证书进行保护。多年来，在IE、Firefox和Chrome等任何浏览器上都没有出现过任何问题。

自从最近的Chrome更新（61.0.3163.100）后，客户端证书被拒绝，并显示以下错误消息：

This site can’t provide a secure connection

my.domain.com didn’t accept your login certificate, or one may not have been provided.
Try contacting the system admin.
ERR_BAD_SSL_CLIENT_AUTH_CERT

这个网站在任何其他浏览器上都能很好地运行！我找不到任何相关信息。

我猜测，Chrome提高了客户端证书的最低要求，就像几个月前它对服务器证书所做的那样。但我不知道该如何修复它。

你有什么关于我的证书出了问题的线索吗？

非常感谢。

更新 2017 年 12 月 15 日

我仍然遇到问题，没有找到任何答案。

过了一段时间，我发现 Chrome 不喜欢使用 openssl ca 生成的客户端证书。

我是这样生成证书的:

openssl ca -config openssl.cnf -extensions client -batch -in test.req -out test.cer

我尝试了各种方法，但是无法使它与Chrome一起正常工作，但是，它可以在其他所有浏览器中正常工作。

现在我正在生成证书：

openssl x509 -req -in test.req -CA ca.cer -CAkey ca.key -extensions client -extfile openssl.cnf -CAserial ca.srl -out test.cer -sha256 

如果我比较使用openssl x509 -in test.cer -noout -text生成的输出，没有任何不同，则它是有效的！所以我想知道Chrome为什么不喜欢openssl ca。

我更喜欢使用openssl ca而不是openssl x509，因为我无法使用CRLs，而且我也更喜欢使用startdate/enddate而不是days。

有任何想法吗？

- mmoossen

Answer 1

我正在生成证书，方法如下：

openssl ca -config openssl.cnf -extensions client -batch -in test.req -out test.cer

我尝试了一切，但无法使其在Chrome中工作，但是，在所有其他浏览器中它都可以工作。

现在我正在生成证书：

openssl x509 -req -in test.req -CA ca.cer -CAkey ca.key -extensions client -extfile openssl.cnf -CAserial ca.srl -out test.cer -sha256 

它有效！

如果我将openssl x509 -in test.cer -noout -text的输出进行比较，没有任何区别！！所以我想知道Chrome不喜欢openssl ca的什么。

- mmoossen

Answer 2

我在这个网站上找到了这篇文章：https://productforums.google.com/forum/#!topic/chrome/TM0Tg0_YOvg

为了解决这个问题，可以尝试以下步骤： 1）通过清除IE的Internet选项中的所有数据来重置浏览器。 2）删除与您正在尝试访问的站点相关的所有证书... Chrome共享IE证书。 3）确保之后有互联网访问...如果适用，请检查代理设置。 4）尝试再次访问同一站点，如果提示证书，请插入智能卡或安装证书。 5）如果不起作用，您可以从个人中删除所有证书，但要小心删除中间和其他地方的证书。

此错误是本地计算机上的证书存在问题。 对于DOD用户，请参见https://militarycac.com/dodcerts.htm 如果还有更多问题...我能够使用我发布的步骤访问DOD站点..确保您也安装了installroot3a exe。

- J.Bonnell