Регистрация Войти
Рейтинг:0
jacob_w avatar Server

Как добавить исключение сертификата сервера в Chrome/Edge?

флаг id
jacob_w

Можно ли добавить исключения сертификатов сервера для некоторых веб-сайтов (чтобы пропустить страницу с предупреждением о сертификатах с истекшим сроком действия, самозаверяющих сертификатах или с отсутствующими или несоответствующими CN/SAN) в Google Chrome / MS Edge для всех пользователей (любым способом с помощью сценария, но предпочтительно с использованием политик/реестра)?

В Mozilla Firefox я использую Autoconfig, который достаточно хорош без использования политики. Есть ли альтернатива Autoconfig в Chrome/Edge?

520
0 + 0
Рейтинг:1
avatar Server
флаг cn
Conure

Вы можете добавить самоподписанные сертификаты в качестве доверенных корней на целевые машины, на которых вы хотите избежать ошибок сертификатов. Это можно сделать с помощью GPO в разделе Параметры безопасности\Политики открытых ключей\Доверенные корневые центры сертификации.

В конфигурации по умолчанию IE, старый и новый Edge, а также Chrome (и другие браузеры Chromium) будут соблюдать доверительные отношения сертификатов системы.

Надевая мою охранную шляпу: доверять отдельным самозаверяющим сертификатам — не очень хорошая идея, потому что закрытый ключ сертификата — это единственное, что нужно, чтобы начать спуфинг трафика на веб-сайт. Вам следует рассмотреть возможность развертывания внутренних центров сертификации, чьим корням/промежуточным звеньям вы затем доверяете через AD, и развертыванию сертификатов из них. Регистрация сертификата очень скриптовая!

0 + 0
jacob_w avatar
флаг id
jacob_w
Я бы добавил, что в случае утечки закрытого ключа сертификат кажется менее важным. В любом случае, я развертываю корневые сертификаты на конечных точках (если не GPO, то certutil/certmgr) — это прекрасно работает, когда сертификаты имеют атрибуты, требуемые браузером, и подписаны корневым/промежуточным звеном, как вы написали. К сожалению, рассматриваемые сертификаты: 1) находятся вне моего контроля (добавление исключения - единственный способ избавиться от предупреждения); 2) не только самоподписанные. Если вы добавите к этому отсутствие SAN, доверие к сертификату не имеет значения для Chrome (IE немного больше доверяет).
0
Ответить
флаг cn
Conure
Правда, просто в центральном ЦС проще управлять отзывом сертификата и жизненным циклом сертификата, но он не менее безопасен. Однако сертификат без SAN теперь имеет большое значение. Я не знаю, как обойти это с помощью Chrome. Сожалею. :-(
0
Ответить
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.