Chrome показывает ERR_CERT_COMMON_NAME_INVALID, когда Firefox счастлив

Учимся работать с сертификатами, возможно будет локальный CA сервер. У меня есть сервер с BMC, поэтому я использовал его для тренировок. Сгенерированная пара CA, затем пара хостов, а затем подписанный CSR хоста с парой CA для получения хоста crt. Я загрузил CA crt в хранилище доверенных ключей Chrome и пару хостов в BMC. Теперь, когда я захожу на сервер, я вижу, что BMC возвращает правильный crt, но хром показывает, что соединение не защищено. Причина: ERR_CERT_COMMON_NAME_INVALID. Однако, когда я нажимаю «Сертификат недействителен», я вижу, что оба ключа и подписанный сертификат отображаются как «Этот сертификат в порядке». DNS-имя, используемое в URL = ОБЩЕЕ имя. В то же время, для Firefox нет проблем, с моими сертификатами все в порядке. Что может быть не так?

Использовал эту последовательность: #CA ЧАСТНЫЙ

openssl genrsa -out CAKEY.pem 2048

#CA CERTIFICATE (используется в браузере). Обычное имя: ca.mydomain.com

openssl req -x509 -sha256 -new -nodes -key CAKEY.pem -days 3650 -out CACERT.pem -addext "subjectAltName = DNS:ca.mydomain.com"

#HOST KEY (загружен на BMC), здесь нужно отключить защиту паролем, BMC не любит пароль

openssl genrsa -out HOSTKEY.pem 2048

#HOST CSR. Обычное имя: host1.mydomain.com

openssl req -new -key HOSTKEY.pem -out HOSTCSR.pem -addext "subjectAltName = DNS:host1.mydomain.com"

#SIGN (загружено в BMC)

openssl x509 -req -CA CACERT.pem -CAkey CAKEY.pem -in HOSTCSR.pem -out HOSTCRT.PEM -days 3650 -CAcreateserial

OpenSSL х509 Команда не копирует расширение из файла CSR в подписанный сертификат в версии 1.1.1 и более ранних.

На Последняя версия есть -copy_extensions <аргумент> вариант, где ` может быть никто, копировать или же копировать все.

Вы получаете сообщение в Chrome, потому что в вашем сертификате не скопировано расширение альтернативного имени субъекта (SAN), поэтому он жалуется. Я считаю, что Firefox сохраняет использование общего имени субъекта, если не существует расширения альтернативного имени субъекта, поэтому он не жалуется.

Вы можете обойти это, указав х509 команду в другой файл конфигурации с -extfile <файл> и -расширения <раздел> параметры. Файл <file> просто нужно иметь именованный раздел с расширениями, которые вы хотите добавить в сертификат:

[ мой_расшир ]
subjectKeyIdentifier = хэш
authorKeyIdentifier = идентификатор ключа: всегда
keyUsage = критический, digitalSignature, keyEncipherment
расширенный ключ использования = серверная аутентификация
subjectAltName = @alt_names
[alt_names]
DNS.1 = host1.mydomain.com