☰

Agujero SNI

tag-icon • tag-icon ssl ssl-certificate openssl certificate-authority
Agujero SNI

He comprado un certificado válido:

Por ejemplo este sitio lo valida: https://sslanalyzer.comodoca.com/?url=www.example.com

Pero cuando lo pruebo con openSSL, así:

openssl s_client -showcerts -conectar https://www.ejemplo.com:443

yo obtengo

Verificar código de retorno: 18 (certificado autofirmado)

Respuesta1

Agujero SNI

Has caído en unAgujero SNI.

SNI esindicación del nombre del servidor. Esto le permite tener varios nombres de host diferentes viviendo en la misma IP compartida. Y si en realidad no indica un nombre de servidor a un servidor habilitado para SNI, obtendrá el certificado predeterminado. (Esta es la parte del "agujero SNI").

Y OpenSSL no proporcionará un nombre de servidor al servidor TLS a menos que usted se lo indique. Utilice el -servernameparámetro para eso.

$ echo '' | openssl s_client -showcerts -connect www.unival-logistics.com:443  -servername www.unival-logistics.com 2>/dev/null | grep -Ei 'subject|issuer|return'
subject=/C=US/OU=Domain Control Validated/CN=www.unival-logistics.com
issuer=/C=BE/O=GlobalSign nv-sa/CN=GlobalSign Domain Validation CA - SHA256 - G2
    Verify return code: 20 (unable to get local issuer certificate)

Si lo omite, obtendrá el certificado predeterminado para ese host. Y aquí hay un certificado autofirmado. (Y tampoco creo que deba estar ahí. No tiene sentido entregar un certificado autofirmado).

 $ echo '' | openssl s_client -showcerts -connect www.unival-logistics.com:443  2>/dev/null | grep -Ei 'subject|issuer|return'
 subject=/O=americanfuturegate.com/CN=*.americanfuturegate.com/[email protected]
 issuer=/O=americanfuturegate.com/CN=*.americanfuturegate.com/[email protected]
     Verify return code: 18 (self signed certificate)

revisa esa instalacion

Nota al margen: le recomiendo que desactive SSL3. (Informe de laboratorios SSLaquí.)

información relacionada