К сертификату нет доверия так как он является самоподписанным

Хром ругается на небезопасное соединение

В качестве локального сервера использую Denwer apache 2.2.22 Firefox и IE грузят с localhost без происшествий, а вот Хром ругается на сертификат и выводит следующее:

lineage.loc использует недействительный сертификат безопасности. К сертификату нет доверия, так как он является самоподписанным. Сертификат недействителен для любого имени сервера. (Код ошибки: sec_error_unknown_issuer)

Хром блокирует загрузку внешних скриптов и библиотек вот сообщения консоли:

К сертификату нет доверия так как он является самоподписанным

Эта статья описывает типичные ошибки работы КриптоПро ЭЦП Browser plug-in в браузерах и предлагает способы их решения.

Появляется окно КриптоПро CSP Вставьте ключевой носитель

Появление данного окна значит, что у Вас не вставлен носитель с закрытым ключом для выбранного Вами сертификата.

Необходимо вставить ключевой носитель. Убедитесть, что устройство отображается в Диспетчере Устройств Windows. Установите драйверы на устройство с сайта производителя если они не установлены.

Если предыдущие действия не помогли, необходимо переустановить сертификат в хранилище Личное текущего пользователя с привязкой к закрытому ключу. См статью.

Не удалось создать подпись из-за ошибки: Не удается построить цепочку сертификатов для доверенного корневого центра. (0x800B010A)

Эта ошибка возникает, когда невозможно проверить статус сертификата (нет доступа к спискам отзыва или OCSP службе), либо не установлены корневые сертификаты.

Проверьте, строится ли цепочка доверия: откройте сертификат (например через Пуск -> Все программы -> КриптоПро -> Сертификаты-Текущий Пользователь -> Личное -> Сертификаты), перейдите на вкладку Путь сертификации. Если на этой вкладке присутствуют красные кресты, или вообще нет ничего кроме текущего сертификата (кроме тех случаев если сертификат является самоподписанным), значит цепочка доверия не построена.

Скриншоты с примерами сертификатов, у которых не строится цепочка доверия.

Чтобы цепочка доверия построилась необходимо скачать и установить корневые и промежуточные сертификаты. Скачать их можно с сайта УЦ, издавшего сертификат.

Если вы используете квалифицированный сертификат, то попробуйте установить в доверенные корневые эти 2 сертификата. Это сертификаты Головного УЦ Минкомсвязи и Минцифры. От них, при наличии интернета, должна построится цепочка доверия у любого квалифицированного сертификата.

Чтобы установить скачанный сертификат в доверенные корневые центры сертификации, нажмите по нему правой кнопкой-Выберите пункт –Установить сертификат- Локальный компьютер (если такой выбор есть) — Поместить все сертификаты в следующие хранилище-Обзор-Доверенные корневые центры сертификации-Ок- Далее- Готово- когда появится предупреждение системы безопасности об установке сертификата- нажмите Да-Ок.

Если этого недостаточно, обратитесь в УЦ, выдавший вам сертификат, за сертификатом самого УЦ.

Полученный от УЦ сертификат является промежуточным в цепочке Минкомсвязи -> УЦ -> вы, поэтому при его установке выбирайте хранилище «Промежуточные центры сертификации».

Важно: Если вы создаете CAdES-T (доверенное время) или CAdES-XLongType 1 (доверенное время и доказательства подлинности), ошибка цепочки может возникать если нет доверия к сертификату оператора TSP службы. В этом случае необходимо установить в доверенные корневые центры сертификации корневой сертификат УЦ, предоставляющего службу TSP.

При создании подписи появляется окно с ошибкой «Не удается найти сертификат и закрытый ключ для расшифровки. (0x8009200B)», в информации о сесртификате отображается «нет привязки к закрытому ключу»

Важно: На наших демо-страницах подпись будет создана даже если привязки к ЗК нет. При этом сертификат должен находиться в контейнере. Сообщение «нет привязки к закрытому ключу» в данном случае будет носить информационный характер. Однако для обеспечения совместимости со сторонними площадками мы рекомендуем выполнять привязку сертификата к закрытому ключу.

Подпись создается, но также отображается статус «ошибка при проверке цепочки сертификатов».

Это значит, что нет доступа к спискам отозванных сертификатов.

Списки отозванных сертификатов можно скачать на сайте УЦ, выдавшем сертификат, после получения списка его необходимо установить, процедура идентична процедуре установки промежуточного сертификата ЦС. При отсутствии ограничений на доступ в сеть Интернет списки обновляются автоматически.

Ошибка: 0x8007064A/0x8007065B

Причина ошибки — истёк срок действия лицензий на КриптоПро CSP и/или КриптоПро TSP Client 2.0 и/или Криптопро OCSP Client 2.0.

Для создания CAdES-BES подписи должна быть действующая лицензия на КриптоПро CSP.

Для создания CAdES-T должны быть действующими лицензии на: КриптоПро CSP, КриптоПро TSP Client 2.0.

Для создания XLT1 должны быть действующими лицензии на: КриптоПро CSP, КриптоПро TSP Client 2.0, КриптоПро OCSP Client 2.0

Посмотреть статус лицензий можно через: Пуск- Все программы- КРИПТО-ПРО- Управление лицензиями КриптоПро PKI.

Чтобы активировать имеющуюся лицензию:

— откройте Пуск -> Все программы -> КРИПТО-ПРО -> Управление лицензиями КриптоПро PKI

— выберите нужный программный продукт -> откройте контекстное меню (щелкнуть правой кнопкой мыши) -> выберите пункт «Все задачи» -> выберите пункт «Ввести серийный номер. «

— введите в поле информацию о лицензии и нажмите OK чтобы сохранить её.

Отказано в доступе (0x80090010)

Причина ошибки: Истек срок действия закрытого ключа. Проверьте срок действия Зайдите в Пуск -> Все программы -> КРИПТО-ПРО -> Крипто-Про CSP. Перейдите на вкладку Сервис. Нажмите кнопку «Протестировать», выберите контейнер с закрытым ключом кнопкой «Обзор» или «По сертификату» и в результатах тестирования Вы сможете увидеть срок его действия. Рекомендуется получить новый ключ.

Ошибка: Invalid algorithm specified. (0x80090008)

Ошибка возникает, если Вы используете сертификат, алгоритм которого не поддерживается Вашим криптопровайдером.

Пример: У вас установлен КриптоПро CSP 3.9 а сертификат Выпущен по ГОСТ 2012.

Или если используется алгоритм хеширования, не соответствующий сертификату.

Ошибка неизвестный издатель сертификата

На веб-сайтах, соединение с которыми должно быть защищено (адрес начинается с «https://»), Firefox должен удостовериться, что сертификат, предоставленный веб-сайтом, является действительным. Если сертификат проверить невозможно, Firefox прекратит подключение к веб-сайту и отобразит вместо этого страницу с ошибкой «Предупреждение: потенциальная угроза безопасности». Щёлкнув по кнопке Подробнее , вы можете увидеть конкретную ошибку, обнаруженную Firefox.

В этой статье объясняется, почему вы можете видеть коды ошибок «SEC_ERROR_UNKNOWN_ISSUER», «MOZILLA_PKIX_ERROR_MITM_DETECTED» или «ERROR_SELF_SIGNED_CERT» на веб-сайтах и как её устранить.

Оглавление

• 1 Что означает этот код ошибки?
• 2 Ошибка появляется на множестве защищённых сайтов
  • 2.1 Антивирусные продукты
    • 2.1.1 Avast/AVG
    • 2.1.2 Bitdefender
    • 2.1.3 Bullguard
    • 2.1.4 ESET
    • 2.1.5 Kaspersky
    • 3.1 Сертификат выпущен центром, принадлежащим Symantec
    • 3.2 Отсутствует промежуточный сертификат
    • 3.3 Самоподписанный сертификат
    • 3.4 Обход предупреждения

    Что означает этот код ошибки?

    Во время защищённого соединения веб-сайту необходимо представить сертификат, выпущенный доверенным центром сертификации, для того, чтобы Firefox убедился, что пользователь подключен к необходимому сайту и соединение является зашифрованным. Если вы щёлкните по кнопке Дополнительно на странице с ошибкой «Предупреждение: потенциальная угроза безопасности» и видите код ошибки «SEC_ERROR_UNKNOWN_ISSUER» или «MOZILLA_PKIX_ERROR_MITM_DETECTED», это означает, что представленный сертификат был издан центром сертификации, который не известен Firefox, и поэтому ему нельзя доверять по умолчанию.

    

    Ошибка появляется на множестве защищённых сайтов

    Если вы сталкиваетесь с этой проблемой на множестве не связанных друг с другом HTTPS-сайтов, это указывает на то, что что-то в вашей системе или сети перехватывает ваше соединение и внедряет сертификаты способом, которому не доверяет Firefox. В большинстве случаев зашифрованные соединения сканирует антивирусное программное обеспечение или слушает вредоносная программа и подменяет легитимные сертификаты веб-сайтов на свои собственные. В частности, код ошибки «MOZILLA_PKIX_ERROR_MITM_DETECTED» показывает, что Firefox обнаружил перехват соединения.

    Антивирусные продукты

    Стороннее антивирусное программное обеспечение может вмешиваться в защищённые соединения Firefox. Вы можете попробовать переустановить его, что может привести к тому, что программное обеспечение снова поместит свои сертификаты в доверенное хранилище Firefox.

    Мы рекомендуем удалить ваше стороннее программное обеспечение и использовать вместо этого защитное программное обеспечение, предлагаемое Microsoft для Windows:

    • Windows 8 и Windows 10 — Защитник Windows (встроен)

    Если вы не хотите удалять своё стороннее программное обеспечение, вы можете попробовать его переустановить, что может заставить программное обеспечение расположить свои сертификаты в доверенное хранилище Firefox снова.

    Ниже описаны некоторые альтернативные решения, которые вы можете попробовать:

    Avast/AVG

    В антивирусных продуктах Avast или AVG вы можете отключить перехват защищённых соединений:

    1. Откройте настройки вашего приложения Avast или AVG.
    2. Перейдите в и щёлкните > > .
    3. Прокрутите вниз до раздела настроек и щёлкните по .
    4. Снимите флажок рядом с и подтвердите это, нажав OK .

    В более старых версиях продукта вы найдёте соответствующий параметр перейдя через > > и щёлкнув Настроить рядом с

    Для получения дополнительной информации прочитайте статью Управление HTTPS-сканированием в Web Shield в антивирусе Avast на сайте поддержки Avast. Дополнительная информация об этой функции доступна на этой странице Блога Avast.

    Bitdefender

    В антивирусных продуктах Bitdefender вы можете отключить перехват защищённых соединений:

    1. Откройте настройки вашего приложения Bitdefender.
    2. Перейдите к меню и в разделе щёлкните по .
    3. Отключите параметр Сканирование защищённого соединения .

    В более старых версиях продукта вы найдёте соответствующий параметр как Сканирование SSL после перехода через >

    В Bitdefender Antivirus Free этот параметр невозможно изменить. Вместо этого вы можете попробовать восстановить или удалить программу, если у вас возникли проблемы с доступом к защищённым веб-сайтам.

    Для корпоративных продуктов Bitdefender, пожалуйста, обратитесь к этой странице Центра поддержки Bitdefender.

    Bullguard

    В продуктах безопасности Bullguard можно отключить перехват защищённых соединений на конкретных крупных сайтах, таких как Google, Yahoo и Facebook:

    1. Откройте панель вашего приложения Bullguard.
    2. Щёлкните по и включите Расширенный просмотр в правой верхней части панели.
    3. Перейдите к > .
    4. Снимите флажок с параметра для тех сайтов, на которых отображается сообщение об ошибке.

    В антивирусных продуктах ESET вы можете попробовать отключить и повторно включить фильтрацию SSL/TLS-протокола или полностью отключить перехват защищённых подключений, как описано в статье справки ESET.

    Kaspersky

    Пострадавшие пользователи Kaspersky, должны обновиться до последней версии их продукта безопасности, например до Kaspersky 2019 и выше, которая уменьшает риски этой проблемы. Страница обновления продукта Kaspersky содержит ссылки «обновить», которые бесплатно установят последнюю версию для пользователей с текущей подпиской.

    В противном случае, вы можете также отключить перехват защищённых соединений:

    1. Откройте настройки вашего приложения Kaspersky.
    2. Нажмите на снизу слева.
    3. Щёлкните и затем .
    4. В разделе отметьте флажок Не сканировать зашифрованные соединения и подтвердите это изменение.
    5. Перезапустите вашу систему, чтобы изменения вступили в силу.

    Настройки Family Safety в учётных записях Windows

    В учётных записях Microsoft Windows, защищённых настройками Family Safety, защищённые соединения на таких популярных веб-сайтах, как Google, Facebook и Youtube могут перехватываться, а их сертификаты подменяются сертификатами, изданными Microsoft для фильтрации и записи поисковых запросов.

    Ознакомьтесь с этой страницей Microsoft ЧаВо, чтобы узнать, как отключить эти компоненты семьи для учётных записей. В случае, если вы хотите вручную установить отсутствующие сертификаты для проблемных учётных записей, вы можете обратиться к этой справочной статье Microsoft.

    Наблюдение/фильтрация в корпоративных сетях

    Некоторые продукты для наблюдения/фильтрации трафика, использующиеся в корпоративных окружениях, могут перехватывать зашифрованные соединения, подменяя сертификат веб-сайта своим собственным, что может при этом вызывать ошибки на защищённых HTTPS-сайтах.

    Если вы подозреваете, что это ваш случай, свяжитесь, пожалуйста, с вашим ИТ-отделом, чтобы узнать, как корректно настроить Firefox для того, чтобы он правильно работал в таком окружении, поскольку необходимый сертификат, возможно, должен быть сначала помещён в хранилище доверенных сертификатов Firefox. Дополнительную информацию для ИТ-отделов о том, что необходимо для этого сделать, можно найти на странице Mozilla Wiki CA:AddRootToFirefox.

    Вредоносные программы

    Некоторые виды вредоносных программ, перехватывающих зашифрованный веб-трафик, могут вызывать подобное сообщение об ошибке — обратитесь к статье Устранение проблем Firefox, вызванных вредоносными программами, чтобы узнать о том, как решить проблемы с вредоносными программами.

    Ошибка появляется только на конкретном сайте

    В том случае, если вы сталкиваетесь с этой проблемой только на конкретном сайте, этот тип ошибки обычно указывает на то, что веб-сервер сконфигурирован неправильно. Тем не менее, если вы видите эту ошибку на подлинных крупных сайтах, таких как Google или Фейсбук, или сайтах, на которых проводятся финансовые операции, вы должны выполнить действия, описанные выше.

    Сертификат выпущен центром, принадлежащим Symantec

    После множества выявленных сбоев с сертификатами, выпущенными корневыми центрами сертификации Symantec, производители браузеров, включая Mozilla, постепенно убирают доверие к этим сертификатам из своих продуктов. Firefox больше не доверяет серверам сертификатов, выпущенных Symantec, включая сертификаты, выпущенные под брендами GeoTrust, RapidSSL, Thawte и Verisign. Для получения дополнительной информации прочитайте это сообщение в блоге Mozilla.

    Основной ошибкой будет MOZILLA_PKIX_ERROR_ADDITIONAL_POLICY_CONSTRAINT_FAILED, но на некоторых серверах вы можете увидеть вместо этого код ошибки SEC_ERROR_UNKNOWN_ISSUER.Когда вы попадаете через такой сайт, вы должны связаться с владельцами сайта для того, чтобы информировать их об этой проблеме.

    Mozilla настоятельно рекомендует операторам затронутых сайтов провести незамедлительное действие по замене этих сертификатов. DigiCert предоставляет бесплатную замену сертификатов.

    Отсутствует промежуточный сертификат

    На сайте с отсутствующим промежуточным сертификатом вы увидите следующее описание ошибки после того, как щёлкните по Дополнительно на странице ошибки:

    К сертификату нет доверия, так как сертификат его издателя неизвестен.
    Сервер мог не отправить соответствующие промежуточные сертификаты.
    Может понадобиться импортировать дополнительный корневой сертификат.

    Сертификат веб-сайта мог не быть выдан доверенным центром сертификации, или не была предоставлена полная цепочка сертификатов до доверенного центра сертификации (отсутствует так называемый «промежуточный сертификат»).

    Вы можете проверить, что сайт настроен правильно, введя адрес веб-сайта в инструмент стороннего производителя, например на тестовой странице SSL Labs. Если он возвращает результат «Chain issues: Incomplete», значит надлежащий промежуточный сертификат отсутствует.
    Вам следует связаться с владельцами веб-сайта, на котором вы испытываете проблемы с доступом, чтобы сообщить им об этой проблеме.

    Самоподписанный сертификат

    На сайте с самоподписанным сертификатом вы увидите код ошибки ERROR_SELF_SIGNED_CERT и последующим описанием ошибки после того, как вы щёлкнете по Дополнительно на странице ошибки:

    К сертификату нет доверия, так как он является самоподписанным.

    К самоподписанному сертификату, который был выдан непризнанным центром сертификации, по умолчанию нет доверия. Самоподписанные сертификаты могут обеспечить защиту ваших данных от прослушивания, но они ничего не говорят о том, кто является получателем данных. Это характерно для интранет-сайтов, которые не доступны для широкой публики, и вы можете обойти предупреждение для таких сайтов.

    Обход предупреждения

    Предупреждение: Вам никогда не следует добавлять исключение сертификата для широко известных веб-сайтов или сайтов, где речь идёт о финансовых транзакциях — в этом случае недействительный сертификат может быть индикатором того, что ваше подключение скомпрометировано третьей стороной.

    Если веб-сайт это допускает, вы можете обойти предупреждение для того, чтобы посетить сайт, несмотря на то, что сертификат не является доверенным по умолчанию:

    1. На странице с предупреждением щёлкните по кнопке Дополнительно .
    2. Щёлкните Подтвердить риск и продолжить .

    Эти прекрасные люди помогли написать эту статью:

    

    Станьте волонтёром

    Растите и делитесь опытом с другими. Отвечайте на вопросы и улучшайте нашу базу знаний.

    Подробнее

    Откройте Internet Explorer. Выберите «Инструменты»> «Свойства обозревателя»> «Контент»> «Издатели». В окне «Сертификаты» выберите вкладку «Недоверенные издатели».

    1. Откройте Internet Explorer, нажмите Инструменты — Свойства обозревателя.
    2. Щелкните вкладку Безопасность — кнопка Другой. Убедитесь, что в ActiveX включены следующие параметры. Запускать ActiveX и плагины — Включено. Загрузить подписанный элемент управления ActiveX — включен. …
    3. Нажмите ОК, а затем Применить и ОК. Перезагрузите браузер.

    23 февраля. 2018 г.

    Как мне доверять издателю в Windows 10?

    Чтобы добавить издателя в список доверенных издателей в центре управления безопасностью

    1. Откройте файл от нового издателя.
    2. Щелкните Файл> Параметры.
    3. Щелкните Центр управления безопасностью> Параметры центра управления безопасностью> Надежные издатели.
    4. В списке выберите сертификат издателя и нажмите ОК.

    Как обойти неизвестного издателя?

    Как исправить ошибку разрешений неизвестного издателя программы?

    1. Восстановите реестр файлов.
    2. Запустите полное сканирование системы.
    3. Измените настройки UAC в Панели управления.
    4. Создайте ярлык с повышенными правами для обхода UAC.

    Как обойти предупреждение системы безопасности в Windows 10 неизвестного издателя?

    1. Перейдите в Групповую политику, а затем разверните: Политика локального компьютера / Конфигурация пользователя / Административные шаблоны / Компоненты Windows / Диспетчер вложений.
    2. На правой панели дважды щелкните Список включения для файлов низкого качества.
    3. Щелкните Включить.
    4. Включите такие типы файлов, как .exe ;. летучая мышь;. рег ;. vbs в поле «Параметры».
    5. Нажмите кнопку ОК.

    Как мне заставить программы перестать запрашивать разрешение администратора?

    Вы сможете сделать это, отключив уведомления UAC.

    1. Откройте панель управления и перейдите в раздел «Учетные записи пользователей» и «Учетные записи пользователей семейной безопасности» (вы также можете открыть меню «Пуск» и ввести «UAC»)
    2. Отсюда вы должны просто перетащить ползунок вниз, чтобы отключить его.

    Как вы решаете проблемы издателей программного обеспечения?

    Итак, пришло время запустить ваше приложение:

    1. Решите проблемы совместимости. …
    2. Обновите вашу ОС. …
    3. Создайте новую учетную запись администратора. …
    4. Запустите копию EXE-файла вашего приложения. …
    5. Просканируйте свой компьютер на наличие вредоносных программ. …
    6. Отключите прокси или VPN. …
    7. Очистите кеш и файлы cookie в своем веб-браузере и переустановите проблемное приложение. …
    8. Обновите Магазин Windows.

    Что означает неизвестный издатель?

    0. Войдите, чтобы проголосовать. Это показывает «неизвестный издатель», потому что это не имя издателя в свойствах проекта, которое он отображает. Это издатель сертификата подписи, который вы использовали. Если вы используете тестовый сертификат, будет написан неизвестный издатель.

    Как мне доверять файлу Excel?

    Щелкните вкладку Файл. Щелкните Параметры. Щелкните Центр управления безопасностью, а затем щелкните Параметры центра управления безопасностью. Щелкните Надежные документы.

    Как разблокировать издателя в Windows 10?

    Для этого выполните следующие действия:

    1. Щелкните правой кнопкой мыши установочный файл, который вы не можете запустить. Выберите в меню Свойства.
    2. Перейдите на вкладку «Общие» и в разделе «Атрибуты» вы должны увидеть параметр «Разблокировать». Установите флажок «Разблокировать» и нажмите «Применить» и «ОК», чтобы сохранить изменения.
    3. После этого попробуйте снова запустить установочный файл.

    Как исправить, что Windows заблокировала программное обеспечение неизвестного издателя?

    Windows заблокировала это программное обеспечение, потому что не может проверить издателя

    1. Откройте Internet Explorer, нажмите Инструменты — Свойства обозревателя.
    2. Щелкните вкладку Безопасность — кнопка Другой. Убедитесь, что в ActiveX включены следующие параметры. Запускать ActiveX и плагины — Включено. …
    3. Нажмите ОК, а затем Применить и ОК. Перезагрузите браузер.

    29 центов 2009 г.

    Как мне стать Microsoft Publisher для Windows?

    Чтобы стать «известным издателем», вам необходимо приобрести цифровой сертификат в корневом ЦС; IIRC, самые дешевые стоят

    100 долларов в год, а VeriSign —

    400 долларов в год (что предпочитает Microsoft). Затем подпишите установщик сертификатом.

    Как отключить предупреждение системы безопасности?

    Отключить сообщение «Открыть файл — предупреждение безопасности»

    1. Введите inetcpl. cpl в поле поиска меню «Пуск» или запустите и нажмите «Ввод».
    2. Перейдите на вкладку «Безопасность».
    3. Нажмите Другой …
    4. Выберите Включить (небезопасно) в разделе «Запуск приложений и небезопасные файлы».
    5. Нажмите кнопку ОК.
    6. Нажмите кнопку Да.
    7. Нажмите кнопку ОК.

    Как отключить проверку издателя?

    1. Щелкните Пуск> Выполнить и введите gpedit.msc. Щелкните ОК.
    2. Перейдите в Конфигурация пользователя> Административные шаблоны> Компоненты Windows> Диспетчер вложений.
    3. Откройте список включения для настройки типов файлов с умеренным риском.
    4. Установите для политики значение Включено, затем добавьте *. bat в поле Укажите расширения с высоким риском.
    5. Затем нажмите «Применить».

    Как мне использовать неизвестного издателя?

    Откройте Internet Explorer. Выберите «Инструменты»> «Свойства обозревателя»> «Контент»> «Издатели». В окне «Сертификаты» выберите вкладку «Недоверенные издатели». Если в списке указан издатель программного обеспечения, которое вы пытаетесь запустить, удалите его.

    I have been struggling for days trying to get a simple ActiveX DLL to work with no success despite studying several articles on the subject which I have found online.

    I suspect I have several things coded incorrectly as I am just not familiar with this and most of the articles on the subject are out of date. I am using Visual Studio 2008 and have been using the Windows SDK v7.1 for digital signing.

    What I am trying to do is return the client machineName from the environment class back to the web page (and eventually back to the web server).

    This is my C# class:

    Here is my assembly:

    Here is my object tag and script on my website Master Page. **NOTE: I am getting the error

    Microsoft JScript runtime error: Automation server can’t create object

    on the «var» execution**:

    Then I have manually created a .inf file as follows:

    However, when I build my .cab file I am also getting a .OSD file output to the .cab as follows (I am concerned about there being both a .inf and a .OSD file in the same .cab file. Is that right and will it cause problems? I am not sure how to tell Visual Studio to NOT build the .OSD file.

    Anyway, this has been a nightmare trying to piece together all the details of this. I would be very grateful for any help resolving this.

    OK, the The Code Project article A Complete Scriptable ActiveX Web Control Tutorial Using ATL is what I used as a guide for the signing the .cab file. See the section titled «Signing a cab file».

    Here are the commands I used. Note that I used Visual Studio to create the cab file instead of CABARC. Also note I am only using a test cert:

    Use certmgr to export and import “Root Agency” certificate to Trusted Root Certs:

    Note that I copied my DLL to my Windows SDK folder, signed that, copied it back to my cab file which I then copied over to my SDK file, signed the cab file. Then finally, I copied the cab file to my website project.

    NOTE: See comments at end of first answer. I have purchased a signed certificate from Comodo and with that installed, I now get «Unknown Publisher» error even though the certificate status is «OK». Both the DLL and CAB file have been signed.

    I believe my issue now is that the control needs to be marked as safe for scripting. I found a recent article, Creating an ActiveX control in .NET using C#, which looks very helpful.

    I have been struggling for days trying to get a simple ActiveX DLL to work with no success despite studying several articles on the subject which I have found online.

    I suspect I have several things coded incorrectly as I am just not familiar with this and most of the articles on the subject are out of date. I am using Visual Studio 2008 and have been using the Windows SDK v7.1 for digital signing.

    What I am trying to do is return the client machineName from the environment class back to the web page (and eventually back to the web server).

    This is my C# class:

    Here is my assembly:

    Here is my object tag and script on my website Master Page. **NOTE: I am getting the error

    Microsoft JScript runtime error: Automation server can’t create object

    on the «var» execution**:

    Then I have manually created a .inf file as follows:

    However, when I build my .cab file I am also getting a .OSD file output to the .cab as follows (I am concerned about there being both a .inf and a .OSD file in the same .cab file. Is that right and will it cause problems? I am not sure how to tell Visual Studio to NOT build the .OSD file.

    Anyway, this has been a nightmare trying to piece together all the details of this. I would be very grateful for any help resolving this.

    OK, the The Code Project article A Complete Scriptable ActiveX Web Control Tutorial Using ATL is what I used as a guide for the signing the .cab file. See the section titled «Signing a cab file».

    Here are the commands I used. Note that I used Visual Studio to create the cab file instead of CABARC. Also note I am only using a test cert:

    Use certmgr to export and import “Root Agency” certificate to Trusted Root Certs:

    Note that I copied my DLL to my Windows SDK folder, signed that, copied it back to my cab file which I then copied over to my SDK file, signed the cab file. Then finally, I copied the cab file to my website project.

    NOTE: See comments at end of first answer. I have purchased a signed certificate from Comodo and with that installed, I now get «Unknown Publisher» error even though the certificate status is «OK». Both the DLL and CAB file have been signed.

    I believe my issue now is that the control needs to be marked as safe for scripting. I found a recent article, Creating an ActiveX control in .NET using C#, which looks very helpful.

    • Причины возникновения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER:
    • Способы устранения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER
      • Способ 1: отключение SSL-сканирования
      • Способ 2: восстановление файла cert8.db
      • Способ 3: добавление страницы в исключение

      

      Пользователи Mozilla Firefox, хотя и нечасто, но все же могут сталкиваться в процессе веб-серфинга с различными ошибками. Так, при переходе на выбранный вами сайт на экране может отобразиться ошибка с кодом SEC_ERROR_UNKNOWN_ISSUER.

      Ошибка «Это соединение является недоверенным» и другие подобные ошибки, сопровождающиеся кодом SEC_ERROR_UNKNOWN_ISSUER, говорят о том, при переходе на защищенный протокол HTTPS браузер обнаружил несоответствие сертификатов, которые направлены на защиту информации, передаваемой пользователями.

      Причины возникновения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER:

      1. Сайт действительно является небезопасным, т.к. для него отсутствуют необходимые сертификаты, которые подтверждают его безопасность;

      2. Сайт имеет сертификат, который дает некую гарантию безопасности данных пользователя, но сертификат самоподписный, а значит, браузер не может ему доверять;

      3. На вашем компьютере в папке профиля Mozilla Firefox был поврежден файл cert8.db, который отвечает за хранение идентификаторов;

      4. В антивирусе, установленном на компьютере, активировано SSL-сканирование (сетевое сканирование), которое и может вызывать проблемы в работе Mozilla Firefox.

      Способы устранения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER

      Способ 1: отключение SSL-сканирования

      Чтобы проверить, является ли ваша антивирусная программа причиной возникновения в Mozilla Firefox ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER, попробуйте приостановить работу антивируса и проверить наличие проблем в работе браузера.

      Если после отключения работы антивируса работа Firefox была налажена, вам необходимо заглянуть в настройки антивируса и отключить работу SSL-сканирования (сетевого сканирования).

      Способ 2: восстановление файла cert8.db

      Далее следует предположить, что файл cert8.db был поврежден. Для того, чтобы решить проблему, нам потребуется его удалить, после чего браузер автоматически создаст новую рабочую версию файла cert8.db.

      Для начала нам потребуется попасть в папку профиля. Для этого кликните по кнопке меню веб-обозревателя и выберите иконку со знаком вопроса.

      

      В отобразившемся дополнительном меню щелкните по пункту «Информация для решения проблем».

      

      На экране возникнет окно, в котором потребуется выбрать кнопку «Показать папку».

      

      

      На экране отобразится папка профиля, но прежде чем мы будем с ней работать, полностью закройте Mozilla Firefox.

      Вернитесь к папке профиля. Найдите в списке файлов cert8.db, щелкните по нему ПКМ и перейдите к пункту «Удалить».

      

      Запустите Mozilla Firefox и проверьте наличие ошибки.

      Способ 3: добавление страницы в исключение

      Если ошибку с кодом SEC_ERROR_UNKNOWN_ISSUER так и не удалось устранить, можно попробовать добавить текущий сайт в исключения Firefox.

      Для этого кликните по кнопке «Я понимаю риск», а в развернувшемся выберите пункт «Добавить исключение».

      В появившемся окне кликните по кнопке «Подтвердить исключение безопасности», после чего сайт будет спокойно открываться.

      Надеемся, данные советы вам помогли решить ошибку с кодом SEC_ERROR_UNKNOWN_ISSUER в Mozilla Firefox.

      • Remove From My Forums

      Сообщение «Неизвестный издатель» при запуске исполняемого файла

      Вопрос

      Почему данное сообщение не появляется, если запускать из под Администратора, а также если запускать файл, скачанный из браузера Опера? Если загружаешь из IE или FireFox, то ругается на неизвестного издателя.
      Как определить, какого сертификата не хватает? И почему при запуске из под Администратора предупреждение не выдается?

      Ответы
      

      Почему данное сообщение не появляется, если запускать из под Администратора, а также если запускать файл, скачанный из браузера Опера? Если загружаешь из IE или FireFox, то ругается на неизвестного издателя.
      Как определить, какого сертификата не хватает? И почему при запуске из под Администратора предупреждение не выдается?

      Не заходите в закачку файлов из Интернета от имени Администратора, так как это автоматически включает более высокие привилегии, которые могут быть использованы злоумышленниками для заражения вашего компьютера.

      А ИЕ9 — один из наиболее защищённых браузеров, который предупреждает о отсутствии действующего сертификата издателя, и, даже при загрузке файлов от известных издателей, проверяет их и спрашивает разрешение на открытие. Такие действия браузера помогают защитить
      ОС от случайных и вредных загрузок.

      В «Опера такой защиты, к сожалению, нет.

      Не ищи Бога, не в камне, не в храме — ищи Бога внутри себя. Ищущий, да обрящет.

      • Помечено в качестве ответа

      14 ноября 2011 г. 11:31

      В последнее время от пользователей Mozilla Firefox стало поступать все больше жалоб на ошибку соединения с кодом SEC_ERROR_UNKNOWN_ISSUER . Проявляется она тем, что при попытке перейти на сайт пользователь получает предупреждение «Сертификату нет доверия, так как сертификат его издателя неизвестен» , «Ваше соединение не защищено» или что-то в этом роде. То, что ошибка соединения как-то связана с безопасностью, догадаться нетрудно, но что же все-таки становится ее причиной?

      Как известно, при посещении сайта между браузером и сервером происходит обмен данными. Чтобы обеспечить более высокий уровень безопасности, некоторые ресурсы используют протоколы шифрования, например, тот же HTTPS . Так вот, когда в одном их таких протоколов Firefox обнаруживает несоответствие сертификатов безопасности, он блокирует соединение, пытаясь защитить систему от внешней угрозы, нередко мнимой, а юзер получает описанную выше ошибку.

      Основные причины ошибки

      В свою очередь, причины несоответствия сертификатов безопасности могут быть разными. Посещаемый сайт действительно может оказаться зараженным вирусами, но он может быть совершенно безопасен, но при этом его сертификат отсутствует в базе данных (обычное дело для самоподписанных сертификатов) . Возможной причиной ошибки может стать повреждение файла хранилища идентификаторов, расположенного в папке профиля Firefox, нельзя также исключать некорректную идентификацию сертификата установленной антивирусной программой.

      Способы исправления

      Самый простой способ покончить с ошибкой раз и навсегда — это добавить блокируемый сайт в исключения. Если вы уверены в безопасности ресурса, на странице с предупреждением кликните по кнопке «Дополнительно».

      

      Рразверните спойлер и нажмите «Добавить исключение…».

      

      Далее в открывшемся окошке нажмите кнопку «Подтвердить исключение», убедившись перед этим, что в чекбоксе «Постоянно хранить это исключение» установлена галочка.

      

      Все, больше с ошибкой сертификата вам сталкиваться не придется.

      Приведенный выше пример наиболее простой, а вот что делать, если ни кнопки «Дополнительно», ни спойлеров на странице с предупреждением нет? Так бывает, если Firefox твердо решил не пускать вас на сайт, а также если его локальная база сертификатов оказалась повреждена. В таком случае пофиксить ошибку можно, удалив файл хранилища сертификатов cert8.db . Располагается он в папке профиля Firefox.

      Чтобы в нее попасть, перейдите по внутреннему адресу about:support и нажмите в открывшейся странице «Открыть папку» напротив пункта «Папка профиля» .

      

      Теперь закройте браузер, отыщите в открывшейся папке файл cert8.db и удалите его.

      

      Запустите браузер и попробуйте зайти на проблемную страницу. Если ошибка SEC_ERROR_UNKNOWN_ISSUER повторится, добавьте сайт в исключения как было показано выше (опция должна стать доступной) .

      И последнее.

      Как уже было сказано, причиной ошибки может стать некорректная идентификация сертификата антивирусом. Подобное имеет место достаточно редко, но если же у вас есть основания считать, что виной в конкретном случае стал именно антивирус, отключите в нем проверку протоколов HTTPS и SSL , предварительно убедившись, что сам компьютер не заражен вирусами.

      Полезная информация

      №1 31-05-2008 02:04:53

      FireFox3_User Группа: Guest UA: 0.0

      К сертификату нет доверия, так как сертификат его издателя неизвестен.

      passport.webmoney.ru использует недействительный сертификат безопасности.

      К сертификату нет доверия, так как сертификат его издателя неизвестен.

      (Код ошибки: sec_error_unknown_issuer)

      Подскажите плз что в шифрование прописать чтобы работал сертификат webmoney в firefox3!

      №2 31-05-2008 02:06:29

      FireFox3_User Группа: Guest UA: 2.1

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      ещё на паре сайтов не работало

      №3 02-06-2008 20:18:25

      Unghost Призрак-админ Группа: Administrators Откуда: Moscow, Russia Зарегистрирован: 08-10-2004 Сообщений: 11771 UA: 3.1

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      Нажмите на кнопку «Добавить исключение»

      Do not meddle in the affairs of Wizards, for they are subtle and quick to anger.

      №4 10-11-2008 11:47:48

      AndreyPA Участник Группа: Members Зарегистрирован: 13-02-2007 Сообщений: 141 UA: 3.0

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      У меня не появляется кнопка добавить исключение. Надо вручную добавлять адрес. А как можно сделать чтобы была кнопка

      №5 10-11-2008 15:44:09

      Vladimir Reality Группа: Guest UA: 1.9

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      та же проблема..не дает он добавить исключение..и вручную не дает написать..в гугл хроме все пашет. попробовал обновиться та же байда

      №6 11-11-2008 05:03:16

      AndreyPA Участник Группа: Members Зарегистрирован: 13-02-2007 Сообщений: 141 UA: 3.0

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      У меня вручную все ОК. Но для этого надо взять адрес -> пойти в Инструменты->Настройки->Шифрование->Просмотр Сертификатов->Добавить исключение. Раньше было проще. блин

      №7 12-11-2008 11:15:47

      DimeDroll Участник Группа: Members Зарегистрирован: 12-11-2008 Сообщений: 7 UA: 3.0

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      Что бы была кнопка необходимо:
      1) Открыть страницу about:config и установить свойство browser.xul.error_pages.expert_bad_cert равным true.
      2) Теперь при заходе на такой сайт на странице с сообщением об ошибке добавится кнопочка «Добавить исключение». Жмем на нее.
      3) В появившемся диалоге жмем на «Получить сертификат» и «Подтвердить исключение безопасности»

      №8 18-12-2008 08:27:11

      AndreyPA Участник Группа: Members Зарегистрирован: 13-02-2007 Сообщений: 141 UA: 3.0

      Re: К сертификату нет доверия, так как сертификат его издателя неизвестен.

      DimeDroll
      Спасибо

      Время на прочтение
      3 мин

      Количество просмотров 39K

      Сегодня утром, после горячей чашечки

      кофе, в голову пришла идея сменить привычный мне браузер Chrome на Firefox. Причиной тому было скорее не кофе, а аномальная тормознутость моего браузера в последнее время. После первого запуска предательски ввожу в адресную строку «google.ru» и вижу следующую ошибку:

      

      Браузер даже не дает права проигнорировать ошибку. По привычке первым делом взгляд упал на дату и время. Убедившись, что временные параметры на компьютере установлены верно, перешел на другой ресурс «yandex.ru»:

      

      Тут дела обстояли чуть лучше, Firefox уже предлагает добавить сертификат в хранилище доверенных. Тут пришлось уже включать мозги, т.к. активно пользуюсь сервисом Яндекс.Деньги и любые утечки для меня существенны. Первым делом решил проверить, что именно браузеру не нравится в сертификате:

      

      Нет доверия стороне выдавшей сертификат. И такая картина на всех ресурсах, где используется безопасное соединение HTTPS.

      немного теории:
      Для использования шифрованного канала связи, ваш браузер использует протокол SSL (или TLS) (HTTPS пользуется им), который, в свою очередь, использует сертификат проверки подлинности. Этот сертификат хранит в себе информацию как для шифрования данных, так и для идентификации WEB-сервера, к которому вы обращаетесь. Помимо всей прочей информации, хранимой в сертификате (тип шифрования, альтернативные имена и т.д.), нас интересуют открытый ключ, который решает проблему №1 — шифрование в открытых сетях и информация о центре, выдавшем этот сертификат, которая решает проблему №2 — доверие к открытому ключу.

      Опишу на примерах.

      1. Сервис Яндекс хочет организовать безопасный канал связи со своими пользователями и генерирует для этого пару ключей (открытый и закрытый).
      2. Я, как клиент сервиса Яндекс, получаю от него открытый ключ и шифрую им все свои данные. При этом я уверен, что прочитать данные сможет только владелец закрытого ключа, в нашем случае владелец — сервис Яндекс.
      Этим самым сервис Яндекс решает проблему шифрования в открытых сетях.

      А что если некий троянский вирус встанет между вами и сервисом Яндекс (к примеру, в роли сквозного прокси-сервера)….

      1. Троян получает от сервиса Яндекс открытый ключ.
      2. Троян генерирует пару своих ключей и передает открытую часть вам от имени сервиса Яндекс.
      3. Все сообщения, адресованные от вас сервису Яндекс, перехватываются и дешифруются трояном, а троян в свою очередь шифрует эти данные ключом от Яндекс и передает их ему же. Вот тут и возникает проблема №2, а именно, проблема доверия к открытому ключу.

      Данная проблема решается третьим лицом, которому доверяет, как сервис Яндекс, так и клиент. В данном случае запись указывала на AtomPark Software Inc, которая выдала тот самый сертификат подлинности сервису Яндекс.

      Вернемся к моему сертификату и удостоверимся, что мы доверяем третьему лицу. В поле Общее имя (CN) группы «кем выдано» стоит запись «AtomPark Software Inc». Первый признак доверия этому центру сертификации – наличие его корневого сертификата в хранилище доверительных центров. В Mozille этот список можно открыть так: Настройка-> Дополнительно-> Сертификаты-> Просмотреть сертификаты-> Центры сертификации. По имени нашел сертификат:

      

      На первый взгляд все в порядке. Решил сверить отпечатки SHA1 сертификатов. Полез в иерархию и увидел следующее:

      

      В иерархии сертификатов корневым сертификатом является сам сертификат (самоподписанный).
      Чтобы окончательно убедиться, что это недействительный сертификат, с браузера Chrome выполнил Online проверку актуального сертификата sslshopper.com и сверил серийные номера:

      

      Теперь было необходимо найти этот троян. В настройках прокси было все чисто, а антивирус не дал никаких результатов. Полез в мониторинг сети и заметил некое приложение, которое проявляло активность всякий раз, когда я обращался к веб сервисам:

      

      Первая же ссылка в интернете раскрыла все карты. Оказалось, что недавно наше руководство внесло некоторые поправки в политику защиты конфиденциальной информации. Было решено установить всему персоналу программу StaffCop, которая осуществляет мониторинг деятельности сотрудников. После отключения данной службы, решились не только проблемы с сертификатами, но и с моим основным браузером Chrome. Несмотря на большое описание, фактически задача была решена очень быстро, и я надеюсь, что последовательность моих действий поможет кому-либо.

      А напоследок, то, как должны выглядеть «правильные» сертификаты:

      
      

      • Причины возникновения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER:
      • Способы устранения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER
        • Способ 1: отключение SSL-сканирования
        • Способ 2: восстановление файла cert8.db
        • Способ 3: добавление страницы в исключение

        

        Пользователи Mozilla Firefox, хотя и нечасто, но все же могут сталкиваться в процессе веб-серфинга с различными ошибками. Так, при переходе на выбранный вами сайт на экране может отобразиться ошибка с кодом SEC_ERROR_UNKNOWN_ISSUER.

        Ошибка «Это соединение является недоверенным» и другие подобные ошибки, сопровождающиеся кодом SEC_ERROR_UNKNOWN_ISSUER, говорят о том, при переходе на защищенный протокол HTTPS браузер обнаружил несоответствие сертификатов, которые направлены на защиту информации, передаваемой пользователями.

        Причины возникновения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER:

        1. Сайт действительно является небезопасным, т.к. для него отсутствуют необходимые сертификаты, которые подтверждают его безопасность;

        2. Сайт имеет сертификат, который дает некую гарантию безопасности данных пользователя, но сертификат самоподписный, а значит, браузер не может ему доверять;

        3. На вашем компьютере в папке профиля Mozilla Firefox был поврежден файл cert8.db, который отвечает за хранение идентификаторов;

        4. В антивирусе, установленном на компьютере, активировано SSL-сканирование (сетевое сканирование), которое и может вызывать проблемы в работе Mozilla Firefox.

        Способы устранения ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER

        Способ 1: отключение SSL-сканирования

        Чтобы проверить, является ли ваша антивирусная программа причиной возникновения в Mozilla Firefox ошибки с кодом SEC_ERROR_UNKNOWN_ISSUER, попробуйте приостановить работу антивируса и проверить наличие проблем в работе браузера.

        Если после отключения работы антивируса работа Firefox была налажена, вам необходимо заглянуть в настройки антивируса и отключить работу SSL-сканирования (сетевого сканирования).

        Способ 2: восстановление файла cert8.db

        Далее следует предположить, что файл cert8.db был поврежден. Для того, чтобы решить проблему, нам потребуется его удалить, после чего браузер автоматически создаст новую рабочую версию файла cert8.db.

        Для начала нам потребуется попасть в папку профиля. Для этого кликните по кнопке меню веб-обозревателя и выберите иконку со знаком вопроса.

        

        В отобразившемся дополнительном меню щелкните по пункту «Информация для решения проблем».

        

        На экране возникнет окно, в котором потребуется выбрать кнопку «Показать папку».

        

        На экране отобразится папка профиля, но прежде чем мы будем с ней работать, полностью закройте Mozilla Firefox.

        Вернитесь к папке профиля. Найдите в списке файлов cert8.db, щелкните по нему ПКМ и перейдите к пункту «Удалить».

        

        Запустите Mozilla Firefox и проверьте наличие ошибки.

        Способ 3: добавление страницы в исключение

        Если ошибку с кодом SEC_ERROR_UNKNOWN_ISSUER так и не удалось устранить, можно попробовать добавить текущий сайт в исключения Firefox.

        Для этого кликните по кнопке «Я понимаю риск», а в развернувшемся выберите пункт «Добавить исключение».

        В появившемся окне кликните по кнопке «Подтвердить исключение безопасности», после чего сайт будет спокойно открываться.

        Надеемся, данные советы вам помогли решить ошибку с кодом SEC_ERROR_UNKNOWN_ISSUER в Mozilla Firefox.

        В последнее время от пользователей Mozilla Firefox стало поступать все больше жалоб на ошибку соединения с кодом SEC_ERROR_UNKNOWN_ISSUER . Проявляется она тем, что при попытке перейти на сайт пользователь получает предупреждение «Сертификату нет доверия, так как сертификат его издателя неизвестен» , «Ваше соединение не защищено» или что-то в этом роде. То, что ошибка соединения как-то связана с безопасностью, догадаться нетрудно, но что же все-таки становится ее причиной?

        Как известно, при посещении сайта между браузером и сервером происходит обмен данными. Чтобы обеспечить более высокий уровень безопасности, некоторые ресурсы используют протоколы шифрования, например, тот же HTTPS . Так вот, когда в одном их таких протоколов Firefox обнаруживает несоответствие сертификатов безопасности, он блокирует соединение, пытаясь защитить систему от внешней угрозы, нередко мнимой, а юзер получает описанную выше ошибку.

        Основные причины ошибки

        В свою очередь, причины несоответствия сертификатов безопасности могут быть разными. Посещаемый сайт действительно может оказаться зараженным вирусами, но он может быть совершенно безопасен, но при этом его сертификат отсутствует в базе данных (обычное дело для самоподписанных сертификатов) . Возможной причиной ошибки может стать повреждение файла хранилища идентификаторов, расположенного в папке профиля Firefox, нельзя также исключать некорректную идентификацию сертификата установленной антивирусной программой.

        Способы исправления

        Самый простой способ покончить с ошибкой раз и навсегда — это добавить блокируемый сайт в исключения. Если вы уверены в безопасности ресурса, на странице с предупреждением кликните по кнопке «Дополнительно».

        

        Рразверните спойлер и нажмите «Добавить исключение…».

        

        Далее в открывшемся окошке нажмите кнопку «Подтвердить исключение», убедившись перед этим, что в чекбоксе «Постоянно хранить это исключение» установлена галочка.

        

        Все, больше с ошибкой сертификата вам сталкиваться не придется.

        Приведенный выше пример наиболее простой, а вот что делать, если ни кнопки «Дополнительно», ни спойлеров на странице с предупреждением нет? Так бывает, если Firefox твердо решил не пускать вас на сайт, а также если его локальная база сертификатов оказалась повреждена. В таком случае пофиксить ошибку можно, удалив файл хранилища сертификатов cert8.db . Располагается он в папке профиля Firefox.

        Чтобы в нее попасть, перейдите по внутреннему адресу about:support и нажмите в открывшейся странице «Открыть папку» напротив пункта «Папка профиля» .

        

        Теперь закройте браузер, отыщите в открывшейся папке файл cert8.db и удалите его.

        

        Запустите браузер и попробуйте зайти на проблемную страницу. Если ошибка SEC_ERROR_UNKNOWN_ISSUER повторится, добавьте сайт в исключения как было показано выше (опция должна стать доступной) .

        И последнее.

        Как уже было сказано, причиной ошибки может стать некорректная идентификация сертификата антивирусом. Подобное имеет место достаточно редко, но если же у вас есть основания считать, что виной в конкретном случае стал именно антивирус, отключите в нем проверку протоколов HTTPS и SSL , предварительно убедившись, что сам компьютер не заражен вирусами.

        Как заставить браузер доверять самоподписанному сертификату

        Как заставить браузер доверять SSL-сертификату localhost?

        Хотя, есть аналогичные вопросы , и даже хорошие ответы , они либо не касаются себя локальной конкретно, или попросить об одной конкретной опции / решении (самоподписных против CA).

        Какие есть варианты? Как они сравниваются? Как мне это сделать?

        tl; dr Создать сертификат, выданный собственным ЦС (см. сценарий ниже)

        Вот что я нашел. Поправьте меня, где я ошибаюсь.

        Есть ЦС (центры сертификации). Они выдают сертификаты (подписывают CSR) для других CA (промежуточных CA) или серверов (сертификаты конечных объектов). Некоторые из них являются корневыми авторитетами. У них есть самоподписанные сертификаты, выданные ими самими. То есть обычно существует цепочка доверия, которая идет от сертификата сервера к корневому сертификату. А за корневой сертификат не за что поручиться. Таким образом, ОС имеют хранилище корневых сертификатов (или хранилище политик доверия), общесистемный список доверенных корневых сертификатов. У браузеров есть собственные списки доверенных сертификатов, которые состоят из общесистемного списка и сертификатов, которым доверяет пользователь.

        В Chromium вы управляете сертификатами в chrome: // settings / Certificates. В Firefox Preferences > Privacy & Security > Certificates > View Certificates . У обоих есть вкладка Authorities, которая представляет собой список доверенных корневых сертификатов. И вкладка Серверы, список доверенных сертификатов серверов.

        Чтобы получить сертификат, вы создаете CSR (запрос на подпись сертификата), отправьте его в CA. CA подписывает CSR, превращая его в доверенный сертификат в процессе.

        Сертификаты и CSR — это набор полей с информацией и открытым ключом. Некоторые поля называются расширениями. Сертификат CA — это сертификат с расширением basicConstraints = CA:true .

        Вы можете проверить ошибки сертификата в Chromium в Developer Tools > Security .

        Доверие к сертификатам в масштабах всей системы

        Когда вы меняете хранилище корневых сертификатов ОС, вам необходимо перезапустить браузер. Вы меняете его с помощью:

        trust помещает сертификаты CA в категорию «авторитет» ( trust list ) или в категорию «другие записи». Сертификаты ЦС отображаются на вкладке «Авторитеты» в браузерах или на вкладке «Серверы».

        Firefox не доверяет сертификатам сервера из корневого хранилища сертификатов ОС, в отличие от Chromium. Оба доверяют сертификатам CA из корневого хранилища сертификатов ОС.

        Доверять сертификатам в браузере

        В Chromium и Firefox вы можете добавлять (импортировать) сертификаты на вкладку Authorities. Если вы попытаетесь импортировать сертификат не CA, вы получите сообщение «Not a Certificate Authority». После выбора файла появляется диалоговое окно, в котором вы можете указать настройки доверия (когда доверять сертификату). Соответствующая настройка для обеспечения работы сайта — «Доверять этому сертификату для идентификации веб-сайтов».

        В Chromium вы можете добавлять (импортировать) сертификаты на вкладке «Серверы». Но они попадают либо на вкладку «Авторитеты» (сертификаты CA, и после выбора файла вам не открывается диалоговое окно настроек доверия), либо на вкладку «Другие» (если сертификат не CA).

        В Firefox вы не можете точно добавить сертификат на вкладку «Серверы». Вы добавляете исключения. И там можно доверять сертификату без расширений (плохой).

        Самозаверяющие расширения сертификатов

        Моя система поставляется со следующими настройками по умолчанию (будут добавлены расширения) для сертификатов:

        Взято из /etc/ssl/openssl.cnf , раздел v3_ca . Подробнее об этом здесь .

        Кроме того, Chromium считает сертификат недействительным, если его нет subjectAltName = DNS:$domain .

        Несамоподписанные расширения сертификатов

        Когда браузеры доверяют самозаверяющему сертификату

        Чтобы Chromium мог доверять самозаверяющему сертификату, он должен иметь basicConstraints = CA:true и subjectAltName = DNS:$domain . Для Firefox даже этого недостаточно:

        Когда браузеры доверяют сертификату, выпущенному собственным ЦС

        Firefox не требует расширений, но Chromium требует subjectAltName .

        openssl шпаргалка

        openssl genpkey -algorithm RSA -out «$domain».key — сгенерировать закрытый ключ ( человек )

        openssl req -x509 -key «$domain».key -out «$domain».crt — сгенерировать самоподписанный сертификат ( man )

        Без -subj него будут заданы вопросы относительно отличительного имени (DN), например, общего имени (CN), организации (O), населенного пункта (L). Вы можете ответить на них «заранее»: -subj «/CN=$domain/O=$org» .

        Чтобы добавить subjectAltName расширение, вам нужно либо иметь конфигурацию, в которой все это указано, либо добавить раздел в конфигурацию и указать openssl его имя с помощью -extensions переключателя:

        openssl req -new -key «$domain».key -out «$domain».csr — генерировать CSR, может принять -subj вариант ( человек )

        openssl x509 -req -in «$domain».csr -days 365 -out «$domain».crt \ -CA ca.crt -CAkey ca.key -CAcreateserial — подписать КСО ( мужчина )

        Без него не работает -CAcreateserial . Создает ca.srl файл, в котором хранится порядковый номер последнего сгенерированного сертификата. Для добавления subjectAltName вам понадобится -extfile переключатель:

        openssl req -in $domain.csr -text -noout — просмотреть CSR ( мужчина )

        openssl x509 -in $domain.crt -text -noout — просмотреть сертификат ( мужчина )

        Создать самоподписанный сертификат

        (для работы вам понадобится исключение в Firefox)

        Сгенерировать сертификат, выданный собственным ЦС

        Конфигурация веб-сервера

        PS Я использую Chromium 65.0.3325.162, Firefox 59.0 и openssl-1.1.0.g .

        Судя по всему, в Windows нет trust утилиты. Под Windows есть два хранилища : хранилища локального компьютера и хранилища сертификатов текущего пользователя. Нет смысла использовать хранилище сертификатов локального компьютера, поскольку мы заставляем его работать только для нашего текущего пользователя. Затем есть основания. Наиболее интересны два предопределенных из них: Trusted Root Certification Authorities и Intermediate Certification Authorities Stores. Обычно называют в командной строке в качестве корня и СА .

        Вы можете получить доступ к диспетчеру сертификатов Chrome, выполнив команду chrome: // settings /? Search = Manage% 20certificates, затем щелкнув Управление сертификатами. Наибольший интерес представляют вкладки «Доверенные корневые центры сертификации» и «Промежуточные центры сертификации».

        Один из способов получить сертификаты менеджера — через командную строку :

        Результаты будут следующими (для хранилищ сертификатов локального компьютера и текущего пользователя):

        Другими вариантами могут быть двойной щелчок по сертификату в проводнике, импорт сертификатов из диспетчера сертификатов Chrome, использование оснастки Certificates MMC Snap-in (запуск certmgr.msc ) или использование CertMgr.exe .

        Для тех, кто grep установил, вот как быстро проверить, где находится сертификат:

        Таким образом, установка сертификата CA в хранилище Current User> Trusted Root Certification Authorities кажется лучшим вариантом. И убедитесь , что не забыть перезапустить браузер .

        Как заставить браузер доверять локальному SSL-сертификату?

        Хотя есть similar вопросы и даже хорошие ответы, они либо не заботятся о локальном хосте. или спросите об одном конкретном варианте / решении (самоподписанный или CA).

        Какие есть варианты? Как они сравниваются? Как мне это сделать?

        3 ответа

        tl; dr Создать сертификат, выданный собственным ЦС (см. сценарий ниже)

        Вот что я нашел. Поправьте меня, где я ошибаюсь.

        Есть ЦС (центры сертификации). Они выдают сертификаты (подписывают CSR) для других CA (промежуточных CA) или серверов (сертификаты конечных объектов). Некоторые из них являются корневыми авторитетами. У них есть самоподписанные сертификаты, выданные ими самими. То есть обычно существует цепочка доверия, которая идет от сертификата сервера к корневому сертификату. А за корневой сертификат не за что поручиться. Таким образом, ОС имеют хранилище корневых сертификатов (или хранилище политик доверия), общесистемный список доверенных корневых сертификатов. У браузеров есть собственные списки доверенных сертификатов, которые состоят из общесистемного списка и сертификатов, которым доверяет пользователь.

        В Chromium вы управляете сертификатами в chrome: // settings / Certificates. В Firefox: Preferences > Privacy & Security > Certificates > View Certificates . У обоих есть вкладка Authorities, которая представляет собой список доверенных корневых сертификатов. И вкладка Серверы, список доверенных сертификатов серверов.

        Чтобы получить сертификат, вы создаете CSR (запрос на подпись сертификата), отправьте его в CA. CA подписывает CSR, превращая его в доверенный сертификат в процессе.

        Сертификаты и CSR — это набор полей с информацией и открытым ключом. Некоторые поля называются расширениями. Сертификат CA — это сертификат с basicConstraints = CA:true .

        Вы можете проверить ошибки сертификата в Chromium в Developer Tools > Security .

        Доверие к сертификатам в масштабах всей системы

        Когда вы меняете хранилище корневых сертификатов ОС, вам необходимо перезапустить браузер. Вы меняете его с помощью:

        trust помещает сертификаты CA в категорию «авторитетных» ( trust list ) или в категорию «другие записи» в противном случае. Сертификаты ЦС отображаются на вкладке «Авторитеты» в браузерах или на вкладке «Серверы».

        Firefox не доверяет сертификатам сервера из корневого хранилища сертификатов ОС, в отличие от Chromium. Оба доверяют сертификатам CA из корневого хранилища сертификатов ОС.

        Доверять сертификатам в браузере

        В Chromium и Firefox вы можете добавлять (импортировать) сертификаты на вкладку Authorities. Если вы попытаетесь импортировать сертификат не CA, вы получите сообщение «Not a Certificate Authority». После выбора файла появляется диалоговое окно, в котором вы можете указать настройки доверия (когда доверять сертификату). Соответствующая настройка для обеспечения работы сайта — «Доверять этому сертификату для идентификации веб-сайтов».

        В Chromium вы можете добавлять (импортировать) сертификаты на вкладке «Серверы». Но они попадают либо на вкладку «Центры» (сертификаты CA, и после выбора файла вам не открывается диалоговое окно настроек доверия), либо на вкладку «Другие» (если сертификат не CA).

        В Firefox вы не можете точно добавить сертификат на вкладку «Серверы». Вы добавляете исключения. И там можно доверять сертификату без расширений (плохой).

        Самозаверяющие расширения сертификатов

        Моя система поставляется со следующими настройками по умолчанию (будут добавлены расширения) для сертификатов:

        Кроме того, Chromium считает сертификат недействительным, если в нем нет subjectAltName = DNS:$domain .

        Несамоподписанные расширения сертификатов

        Когда браузеры доверяют самозаверяющему сертификату

        Чтобы Chromium мог доверять самозаверяющему сертификату, он должен иметь basicConstraints = CA:true и subjectAltName = DNS:$domain . Для Firefox даже этого недостаточно:

        Когда браузеры доверяют сертификату, выпущенному собственным ЦС

        Firefox не нуждается в расширениях, но Chromium требует subjectAltName .

        openssl шпаргалка

        openssl genpkey -algorithm RSA -out «$domain».key — сгенерировать закрытый ключ (man)

        openssl req -x509 -key «$domain».key -out «$domain».crt — создать самоподписанный сертификат (мужчина)

        Без -subj он будет задавать вопросы относительно отличительного имени (DN), например, общего имени (CN), организации (O), населенного пункта (L). Вы можете ответить на них «заранее»: -subj «/CN=$domain/O=$org» .

        Чтобы добавить расширение subjectAltName , вы должны либо иметь конфигурацию, в которой все это указано, либо добавить раздел в конфигурацию и указать openssl его имя с помощью переключателя -extensions :

        openssl req -new -key «$domain».key -out «$domain».csr — генерировать CSR, может принимать опцию -subj (мужчина)

        openssl x509 -req -in «$ домен» .csr -days 365 -out «$ домен» .crt \ -CA ca.crt -CAkey ca.key -CAcreateserial — подписать CSR (мужчина)

        Не работает без -CAcreateserial . Он создает файл ca.srl , в котором хранится серийный номер последнего сгенерированного сертификата. Чтобы добавить subjectAltName , вам понадобится переключатель -extfile :

        openssl req -in $domain.csr -text -noout — просмотреть CSR ( man )

        openssl x509 -in $domain.crt -text -noout — просмотреть сертификат ( man )

        Создать самоподписанный сертификат

        (вам понадобится исключение в Firefox, чтобы оно работало)

        Сгенерировать сертификат, выданный собственным ЦС

        Конфигурация веб-сервера

        P.S. Я использую Chromium 65.0.3325.162, Firefox 59.0 и openssl-1.1.0.g .

        Windows

        Очевидно, в Windows нет утилиты trust . В Windows есть два хранилища: хранилища локальных компьютеров и сертификатов текущего пользователя. Нет смысла использовать хранилище сертификатов Local Machine, поскольку мы работаем только для нашего текущего пользователя. Затем есть магазины. Два предопределенных из них представляют наибольший интерес: доверенные корневые центры сертификации и промежуточные центры сертификации. Обычно упоминается в командной строке как root и CA.

        Вы можете получить доступ к Диспетчеру сертификатов Chrome, выполнив команду chrome: // settings /? Search = Manage% 20certificates и нажав Управление сертификатами. Наибольший интерес представляют вкладки «Доверенные корневые центры сертификации» и «Промежуточные центры сертификации».

        Одним из способов управления сертификатами является командная строка :

        Результаты следующие (для хранилищ локальных компьютеров и сертификатов текущего пользователя):

        Другими вариантами могут быть двойной щелчок по сертификату в проводнике, импорт сертификатов из диспетчера сертификатов Chrome, использование оснастки MMC «Сертификаты» (запуск certmgr.msc ) или использование CertMgr.exe .

        Для тех, у кого установлено grep , вот как быстро проверить, где находится сертификат:

        Таким образом, установка сертификата CA в хранилище Current User> Trusted Root Certification Authorities кажется лучшим вариантом. И убедитесь , что не забыли перезапустить браузер.

        Как выпустить самоподписанный SSL сертификат и заставить ваш браузер доверять ему

        

        Все крупные сайты давно перешли на протокол https. Тенденция продолжается, и многие наши клиенты хотят, чтобы их сайт работал по защищенному протоколу. А если разрабатывается backend для мобильного приложения, то https обязателен. Например, Apple требует, чтобы обмен данными сервера с приложением велся по безопасному протоколу. Это требование введено с конца 2016 года.

        На production нет проблем с сертификатами. Обычно хостинг провайдер предоставляет удобный интерфейс для подключения сертификата. Выпуск сертификата тоже дело не сложное. Но во время работы над проектом каждый разработчик должен позаботиться о сертификате сам.
        В этой статье я расскажу, как выпустить самоподписанный SSL сертификат и заставить браузер доверять ему.

        Чтобы выпустить сертификат для вашего локального домена, понадобится корневой сертификат. На его основе будут выпускаться все остальные сертификаты. Да, для каждого нового top level домена нужно выпускать свой сертификат. Получить корневой сертификат достаточно просто.
        Сначала сформируем закрытый ключ:

        Затем сам сертификат:

        Нужно будет ввести страну, город, компанию и т.д. В результате получаем два файла: rootCA.key и rootCA.pem

        Переходим к главному, выпуск самоподписанного сертификата. Так же как и в случае с корневым, это две команды. Но параметров у команд будет значительно больше. И нам понадобится вспомогательный конфигурационный файл. Поэтому оформим все это в виде bash скрипта create_certificate_for_domain.sh

        Первый параметр обязателен, выведем небольшую инструкцию для пользователя.

        Создадим новый приватный ключ, если он не существует или будем использовать существующий:

        Запросим у пользователя название домена. Добавим возможность задания “общего имени” (оно используется при формировании сертификата):

        Чтобы не отвечать на вопросы в интерактивном режиме, сформируем строку с ответами. И зададим время действия сертификата:

        В переменной SUBJECT перечислены все те же вопросы, который задавались при создании корневого сертификата (страна, город, компания и т.д). Все значение, кроме CN можно поменять на свое усмотрение.

        Сформируем csr файл (Certificate Signing Request) на основе ключа. Подробнее о файле запроса сертификата можно почитать в этой статье.

        Формируем файл сертификата. Для этого нам понадобится вспомогательный файл с настройками. В этот файл мы запишем домены, для которых будет валиден сертификат и некоторые другие настройки. Назовем его v3.ext. Обращаю ваше внимание, что это отдельный файл, а не часть bash скрипта.

        Да, верно, наш сертификат будет валидным для основного домена, а также для всех поддоменов. Сохраняем указанные выше строки в файл v3.ext

        Возвращаемся в наш bash скрипт. На основе вспомогательного файла v3.ext создаем временный файл с указанием нашего домена:

        Переименовываем сертификат и удаляем временный файл:

        Скрипт готов. Запускаем его:

        Получаем два файла: mysite.localhost.crt и device.key

        Теперь нужно указать web серверу пути к этим файлам. На примере nginx это будет выглядеть так:

        

        Запускаем браузер, открываем https://mysite.localhost и видим:

        

        Браузер не доверяет этому сертификату. Как быть?

        Нужно отметить выпущенный нами сертификат как Trusted. На Linux (Ubuntu и, наверное, остальных Debian-based дистрибутивах) это можно сделать через сам браузер. В Mac OS X это можно сделать через приложение Keychain Access. Запускаем приложение и перетаскиваем в окно файл mysite.localhost.crt. Затем открываем добавленный файл и выбираем Always Trust:

        

        Обновляем страницу в браузере и:

        

        Успех! Браузер доверяет нашему сертификату.

        Сертификатом можно поделиться с другими разработчиками, чтобы они добавили его к себе. А если вы используете Docker, то сертификат можно сохранить там. Именно так это реализовано на всех наших проектах.

        Делитесь в комментариях, используете ли вы https для локальной разработки?

        Похожие публикации:

        1. Как включить вспышку на айфоне 11
        2. Как обновить все вкладки в хроме
        3. Как писать курсовую работу по программированию
        4. Как убрать сетку в автокаде