Шифруется ли соединение с помощью ssl если написано: «Не защищено»

0

1

Имею веб-сайт в локальной сети, самоподписанный сертификат к нему, настроил веб-сервер на использование защищённого соединения, а Google Chrome пишет: «Не защищено». Что это означает? Это означает что соединение шифруется моим ключом и сертификатом, просто браузер не доверяет этому сертификату? Или же что соединение не шифруется вообще? Конфиг виртуального хоста на котором настроено шифрование Сертификаты генерил вот так:

openssl genrsa -out rsa.key 2048
openssl req -new -x509 -days 365 -key rsa.key -out rsa.crt

И да, в какой папке они должны лежать или это не принципиально?

Ссылка

←	Шаблон для pandoc

python3 в emacs

→

Зависит от адреса который ты в браузере вбиваешь.

Если http://... - он у тебя и не попытается зайти через https (если в вебсервере не настроено перенаправление).

Если заходишь на https://... , а тебе браузер не говорит ничего про неизвестный сертификат и сразу показывает страницу - значит ты не так настроил что-то.

~~onlybugs~~ ★★
(11.12.17 19:23:22 MSK)

Ответ на: комментарий от onlybugs 11.12.17 19:23:22 MSK

Зависит от адреса который ты в браузере вбиваешь.
Если http://... - он у тебя и не попытается зайти через https (если в вебсервере не настроено перенаправление).
Если заходишь на https://... , а тебе браузер не говорит ничего про неизвестный сертификат и сразу показывает страницу - значит ты не так настроил что-то.

По http:// будет перенаправление на https://, в конфиге который я прилагал к посту это прописано. И вот что он говорит при переходе туда.

blbulyandavbulyan ★
(11.12.17 19:52:28 MSK) автор топика

Ссылка

все эти самоподписаные сертификаты фуфло, как только через https - браузеры сразу ругаться начинают, может это к лучшему - последний рубеж хоть какой то защиты...

amd_amd ★★★★★
(11.12.17 19:52:51 MSK)

Ответ на: комментарий от amd_amd 11.12.17 19:52:51 MSK

все эти самоподписаные сертификаты фуфло, как только через https - браузеры сразу ругаться начинают, может это к лучшему - последний рубеж хоть какой то защиты...

А что мне авторитетный сертификат получать для веб-сайта в локальной сети?

blbulyandavbulyan ★
(11.12.17 19:54:17 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 11.12.17 19:54:17 MSK

в локалке - даже авторитетный не моможет на https браузеры один черт ругаться будут и никакое перенапроавление не спасет...

amd_amd ★★★★★
(11.12.17 20:00:49 MSK)

Ответ на: комментарий от amd_amd 11.12.17 20:00:49 MSK

в локалке - даже авторитетный не моможет на https браузеры один черт ругаться будут и никакое перенапроавление не спасет...

Вопрос состоял в том что если я нажму «Перейти на сайт» браузер возьмёт сертификат и соединение станет зашифрованным или будет дальше передавать по не зашифрованному соединению?

blbulyandavbulyan ★
(11.12.17 20:04:04 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:04:04 MSK

Возьмет. А если ты добавишь сертификат в доверенные - он и ругаться не будет ровно до тех пор пока не заменишь этот сертификат на сервере(или пока он не прокиснет, если ты дату окончания запредельную не ставил).

Pinkbyte ★★★★★
(11.12.17 20:10:55 MSK)

Ответ на: комментарий от Pinkbyte 11.12.17 20:10:55 MSK

Возьмет. А если ты добавишь сертификат в доверенные - он и ругаться не будет ровно до тех пор пока не заменишь этот сертификат на сервере(или пока он не прокиснет, если ты дату окончания запредельную не ставил).

Окей, а как добавить сертификат в доверенные в Шindows?

blbulyandavbulyan ★
(11.12.17 20:12:10 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:04:04 MSK

с самопальным сертификатом ничего зашифровано не будет, вам еще повезло - у меня еще проблемней было - браузеры вообще отказывались переходить пока не отключишь в них защиту...

amd_amd ★★★★★
(11.12.17 20:14:59 MSK)

Ответ на: комментарий от amd_amd 11.12.17 20:14:59 MSK

с самопальным сертификатом ничего зашифровано не будет
браузеры вообще отказывались переходить пока не отключишь в них защиту

ОП, не слушай его, слушай pinkbyte

goingUp ★★★★★
(11.12.17 20:16:08 MSK)
Последнее исправление: goingUp 11.12.17 20:17:28 MSK (всего исправлений: 1)

Ответ на: комментарий от goingUp 11.12.17 20:16:08 MSK

Не слушай его, слушай pinkbyte

Да это я уже понял. В конце-концов я имею доступ к маршрутизатору, через который это всё проходит и там это всё можно поснифать и проверить.

blbulyandavbulyan ★
(11.12.17 20:18:03 MSK) автор топика

Ссылка

Соединение будет защищено и с самоподписным сертификатом.

Только обрати внимание, что если ты его не добавишь в доверенные в браузере / ОС, то есть возможность провести атаку MITM с подменой сертификата.

SaBo ★★
(11.12.17 20:22:51 MSK)

Ответ на: комментарий от SaBo 11.12.17 20:22:51 MSK

Только обрати внимание, что если ты его не добавишь в доверенные в браузере / ОС, то есть возможность провести атаку MITM с подменой сертификата.

Как добавить то в Windows?

blbulyandavbulyan ★
(11.12.17 20:33:34 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:33:34 MSK

Или этот форум только по GNU/Linux?

blbulyandavbulyan ★
(11.12.17 20:40:21 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:33:34 MSK

Копируешь сгенерированный сертификат на винду -> двойной клик -> далее -> далее -> далее -> сертификат установлен.

Это если твой браузер не игнорирует сертификаты ОС.

А вообще на винфак :) У меня Линукс, т.ч. подробно из головы не расскажу как в винде сертификаты ставятся.

SaBo ★★
(11.12.17 20:47:39 MSK)

Ссылка

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:33:34 MSK

Правой кнопкой -> установить сертификат -> указать хранилище вручную -> доверенные корневые центры сертификации.
Как то так

yirk ★★★
(11.12.17 20:48:53 MSK)

Ответ на: комментарий от yirk 11.12.17 20:48:53 MSK

Я уже установил, но проблема в том что Осёл и Microsoft Edge не выводят предупреждения как и должно быть и пишут что сайт защищён, а вот Google Chrome и Mozzila Firefox продолжают выводить предупреждение о том что: «САЙТ ОПАСЕН!1!!!». Ладно буду разбираться, всем спасибо.

blbulyandavbulyan ★
(11.12.17 21:19:33 MSK) автор топика

Ссылка

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:12:10 MSK

как добавить сертификат в доверенные в Шindows?

Вопрос не совсем верный. Как добавить сертификат доверенные в Windows в браузер X, где X нужно уточнить. Поясняю. В Windows(как и в Linux) есть общесистемное хранилище доверенных корневых сертификатов. Но есть браузеры(и не только, но давай пока не отклоняться от темы) которые используют СВОЁ хранилище. Яркий пример - Firefox, там своя криптография(NSS кажется), с блэкджеком и куртизанками. Контрпример - Chrome, использует системное хранилище в Windows(как в Linux - хз, не пользовался им там, но подозреваю что тоже). IE/Edge под оффтопиком, понятное дело, используют системное хранилище.

Так что, как я уже сказал, уточни о каком браузере идет речь.

Ну и еще есть HSTS - который не позволит перейти на сайт, где неправильно настроен HTTPS, например имеется недоверенный сертификат или он просрочен. Да, даже варианта «игнорировать и пройти» по умолчанию НЕ БУДЕТ. Вроде в Firefox это пока можно отключить, но по стандарту оно должно быть реализовано именно так.

Pinkbyte ★★★★★
(11.12.17 22:00:22 MSK)
Последнее исправление: Pinkbyte 11.12.17 22:02:32 MSK (всего исправлений: 1)

Ответ на: комментарий от Pinkbyte 11.12.17 22:00:22 MSK

как в Linux - хз, не пользовался им там, но подозреваю что тоже

Хромиум использует мозиловский nss.

Арчевики как всегда полезна https://wiki.archlinux.org/index.php/Network_Security_Services

Описание от разрабов https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/tools/NSS_Tools...

И конкретно как добавить:

$ certutil -d sql:$HOME/.pki/nssdb -A -t "P,," -n "certificate_nickname" -i /path/to/cert/filename

~~onlybugs~~ ★★
(12.12.17 01:23:27 MSK)
Последнее исправление: onlybugs 12.12.17 01:24:24 MSK (всего исправлений: 1)

Ссылка

Ответ на: комментарий от Pinkbyte 11.12.17 22:00:22 MSK

Вопрос не совсем верный. Как добавить сертификат доверенные в Windows в браузер X, где X нужно уточнить. Поясняю. В Windows(как и в Linux) есть общесистемное хранилище доверенных корневых сертификатов. Но есть браузеры(и не только, но давай пока не отклоняться от темы) которые используют СВОЁ хранилище. Яркий пример - Firefox, там своя криптография(NSS кажется), с блэкджеком и куртизанками. Контрпример - Chrome, использует системное хранилище в Windows(как в Linux - хз, не пользовался им там, но подозреваю что тоже). IE/Edge под оффтопиком, понятное дело, используют системное хранилище.
Так что, как я уже сказал, уточни о каком браузере идет речь.
Ну и еще есть HSTS - который не позволит перейти на сайт, где неправильно настроен HTTPS, например имеется недоверенный сертификат или он просрочен. Да, даже варианта «игнорировать и пройти» по умолчанию НЕ БУДЕТ. Вроде в Firefox это пока можно отключить, но по стандарту оно должно быть реализовано именно так.

Я добавил сертификат в доверенные IE/Edge не ругаются, и Mozzila тоже добавил в доверенные, остался только Google Chrome, он то вроде должен воспринимать системное хранилище, а он продолжает выводить: САИТ НЕ БИЗОПАСНЫЙ!1!!1! Причём с той же самой ошибкой...

blbulyandavbulyan ★
(12.12.17 09:25:22 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 12.12.17 09:25:22 MSK

Последние версии Chrome требуют дополнительные атрибуты в сертификате (subjectAltName). В дефолтном конфиге openssl они не ставятся и добавление в доверенные не поможет. Нужно сгенерировать сертификат снова с нужными опциями.

shtain
(12.12.17 09:46:17 MSK)

Ответ на: комментарий от amd_amd 11.12.17 20:14:59 MSK

с самопальным сертификатом ничего зашифровано не будет,

lol

pi11 ★★★★★
(12.12.17 10:01:06 MSK)

Ссылка

Ответ на: комментарий от shtain 12.12.17 09:46:17 MSK

А можно поподробнее? Я сделал свой собственный ЦС вот по этому мануалу, как это сделать что оно было совместимо с этим мануалом?

blbulyandavbulyan ★
(12.12.17 11:36:44 MSK) автор топика

Ссылка

Ответ на: комментарий от shtain 12.12.17 09:46:17 MSK

В дефолтном конфиге openssl они не ставятся и добавление в доверенные не поможет.

В дефолтном конфиге они не стоят по умолчанию, или же их вообще нельзя поставить в конфиге?

blbulyandavbulyan ★
(12.12.17 11:38:27 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 12.12.17 11:38:27 MSK

Можно поправить основной конфиг или создать свой и подсунуть его openssl через параметр командной строки.

Первый попавшийся рецепт по ключевому слову subjectAltName: http://www.r-notes.ru/administrirovanie/poleznosti/164-openssl-sozdanie-multidomennogo-sertifikata.html

shtain
(12.12.17 12:09:51 MSK)

Ответ на: комментарий от amd_amd 11.12.17 20:14:59 MSK

Выкладывай пароль, не позорься.

Deleted
(12.12.17 12:10:51 MSK)

Ответ на: комментарий от shtain 12.12.17 12:09:51 MSK

Можно поправить основной конфиг или создать свой и подсунуть его openssl через параметр командной строки.
Первый попавшийся рецепт по ключевому слову subjectAltName: http://www.r-notes.ru/administrirovanie/poleznosti/164-openssl-sozdanie-multi...

Я вот нашёл мануал. Что вообще такое subjectAltName? Что оно делает? И зачем там:

[ alternate_names ]

DNS.1        = example.com
DNS.2        = www.example.com
DNS.3        = mail.example.com
DNS.4        = ftp.example.com

Что это означает?

blbulyandavbulyan ★
(12.12.17 12:40:58 MSK) автор топика

Ответ на: комментарий от blbulyandavbulyan 12.12.17 12:40:58 MSK

Если верить гуглу, который ссылается на rfc, то в сертификате поле commonName, обычно запрашиваемое openssl, должно содержать имя владельца («Вася Пупкин», «Рога и Копыта»..). А вот перечень доменов или ip должны быть перечислены в атрибуте subjectAlternativeName.

В твоём случае достаточно одного параметра

DNS.0 = transmission.local

shtain
(12.12.17 13:47:48 MSK)

Ссылка

Ответ на: комментарий от amd_amd 11.12.17 19:52:51 MSK

все эти самоподписаные сертификаты фуфло

да они же с технической стороны вопроса не отличаются (та же openssl).

ving2 ★
(12.12.17 13:53:16 MSK)

Ссылка

Ответ на: комментарий от blbulyandavbulyan 11.12.17 20:40:21 MSK

Я создал новый топик, болле соответствующий разделу и обсуждаемой теме, так что го сюда.

blbulyandavbulyan ★
(12.12.17 14:12:30 MSK) автор топика

Ссылка

Ответ на: комментарий от Deleted 12.12.17 12:10:51 MSK

а чего мне позориться - ну не полчучатся у меня на сервере сделать самопальный сертификат, как только пользовательи начинают лезть в https сквозь меня их браузеры сразу ничинают ругаться на защиту соединения, может вы научите как сварганить подложный сертификат - на который браузеры при попытке зайти в https ругаться не будут, смотрю много саркастических комов - неужели это так просто, я себе весь мозг сломал и даже забил на это дело...

amd_amd ★★★★★
(14.12.17 03:54:49 MSK)