Firefox 與 Chrome 處理 Intermediate CA 的不同方式
source link: https://blog.gslin.org/archives/2023/12/31/11562/firefox-%e8%88%87-chrome-%e8%99%95%e7%90%86-intermediate-ca-%e7%9a%84%e4%b8%8d%e5%90%8c%e6%96%b9%e5%bc%8f/
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
Firefox 與 Chrome 處理 Intermediate CA 的不同方式
在 Fediverse 上看到「The recording of my "Browsers biggest TLS Mistake" lightning talk at #37C3」這個，這是出自 37C3 的 lightning talk，影片不長，只有五分鐘，可以在「Browsers biggest TLS mistake」這邊看到。
正常的 HTTPS server 會送出 Intermediate CA certificate 與自己的 TLS certificate：
當伺服器端沒有設定好，通常是只送出自己的 TLS certificate：
這種情況在 Firefox 裡有處理，軟體本身會預載所有的 Intermediate CA 避免這種問題 (當然會需要跟著軟體更新)，這點在三年前有提到過：「Firefox 試著透過預載 Intermediate CA 降低連線錯誤發生的機率？」，也就是這張投影片提到的情況：
而 Chrome 則是去看目前的 cache 資料，找看看是不是在其他地方有看到適合的 Intermediate CA 可以接起來：
這好像可以解釋為什麼之前遇到類似的問題的時候，在 Chrome 上面會需要進 chrome:// 裡面清東西才能重製...
Related
記錄 Firefox/Chrome 在 TLS 的 Session Key 供 Wireshark 使用
以往要看 TLS traffic，需要用 mitmproxy 之類的軟體擋在中間，這需要在 client 端安裝對應的 CA root certificate。 而剛剛在「Decrypting TLS Browser Traffic With Wireshark – The Easy Way!」這篇文章裡面提到了如何讓 Firefox 與 Chrome 記錄下 TLS 的 Session Key，然後倒給 Wireshark 使用。(文章裡有提到需要 dev 版本，不確定是因為新版支援的關係，還是這個功能限制在 dev 版才能用) 方法是在執行時設定 SSLKEYLOGFILE 這個環境變數，指定寫到某個檔案裡。不論是在 Windows & MacOSX & Linux 都一樣。 之後就可以把 Session Key 丟給 Wireshark 處理了，就像是這樣：(原文的範例)
February 14, 2015In "Browser"
Firefox 試著透過預載 Intermediate CA 降低連線錯誤發生的機率？
在「Preloading Intermediate CA Certificates into Firefox」這邊看到 Mozilla 的人打算在 Firefox 上預載所有的 Intermediate CA，以降低 HTTPS 連線發生錯誤的作法。這點在 Mozilla 的 Wiki 上也有記錄：「Security/CryptoEngineering/Intermediate Preloading」。 的確如文章裡說的，沒有正確放入 Intermediate CA 是個 server 設定上很常見的錯誤。像是前幾天看到「【茶包射手日記】網站憑證無效案例分析」這篇講的摩斯 https://www.mos.com.tw/ 其實就是這個案例，用 SSL Labs 的工具就可以掃出來問題：「SSL Report: www.mos.com.tw (210.59.225.242)」。 問題出在於沒有送出正確的 Intermediate CA(s)，所以在 Android 上找不到一條完整的 trust chain： 不過在 Windows 系統內的 CA store 是可以建立出一條完整的 trust chain，所以 Windows 上的…
November 14, 2020In "Browser"
Squid + GnuTLS 不支援 Intermediate Certificate 的問題
先前在「架設 Proxy over TLS」這邊提到了我用 Squid 架 Proxy over TLS 的服務起來用，本來在家裡跑得好好的，但到了公司發現卻不能用，追蹤後發現是目前 Ubuntu 裡面包的 Squid + GnuTLS 沒有辦法支援 intermediate certificate 的問題，而且有人問過了：「[squid-users] HTTPS_PORT AND SSL CERT」。 這邊先講測試的方法，然後後面再講解法。 測試的方式可以用 openssl s_client -connect hostname:port 測，正常的情況會可以看到兩層。 在這邊的例子裡，R3 簽了 home.gslin.org，DST Root CA X3 簽了 R3，而 DST Root CA X3 則在 root certificate 名單中： $ openssl s_client -connect…
March 13, 2021In "Computer"
Leave a Reply
Your email address will not be published. Required fields are marked *
Comment *
Name *
Email *
Website
Notify me of follow-up comments by email.
Notify me of new posts by email.
To respond on your own website, enter the URL of your response which should contain a link to this post's permalink URL. Your response will then appear (possibly after moderation) on this page. Want to update or remove your response? Update or delete your post and re-enter your post's URL again. (Learn More)
Post navigation
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK