AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程

婷姐 · 发表于 2024-2-15 23:12:58

马上注册，免费下载更多dz插件网资源。

您需要登录才可以下载或查看，没有账号？立即注册

×

原载于 https://blog.iks.moe/archives/AlphaSSL-2023-GlobalSign-R6-fullchain.html

近日有群友报告 AlphaSSL 新签的证书兼容性不佳，在用自动证书工具补齐证书链之后仍然无效。鉴于 GlobalSign 近几年搞了一大堆 intermediate CA，估摸着这回终于到 AlphaSSL 头上了。简单查了下，果然。

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

2022 年底的 AlphaSSL CA - SHA256 - G2 失效，GlobalSign 给了 AlphaSSL CA - SHA256 - G4 作为新的 intermediate CA 证书，写在里面的 AIA 指向 GlobalSign Root CA (01SEP1998 - 28JAN2028, root-r1)。

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

奇怪的是 2024 年 1 月 28 日之后的 AlphaSSL CA - SHA256 - G4 不再签发证书，改由 GlobalSign GCC R6 AlphaSSL CA 2023 签发原有通道的 AlphaSSL 证书，而后者的 AIA 指向 GlobalSign Root CA - R6 (10DEC2014 - 10DEC2034, root-r6)，且为信任锚。

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

显然 2024 年 1 月 28 日之后的 AlphaSSL 默认的证书链的信任锚为 2014 年的这张 GlobalSign Root CA - R6。众所周知，一个新信任锚被绝大多数操作系统和软件所接受的周期是极长的，2010 年出的新根证书 (e.g. USERTrust) 依然在很多嵌入式设备、操作系统和浏览器中不受支持。保险起见，新的根证书会找老根证书交叉签名以保证自身的良好的兼容性，GlobalSign 也不例外。因此，重建证书链，将信任锚指向为其交叉签名的较老的根证书上即可解决问题。

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

查询 https://crt.sh/?caid=272222 得知 GlobalSign GCC R6 AlphaSSL CA 2023 仅有一条直接上级 CA，即 GlobalSign Root CA - R6 (https://crt.sh/?caid=18459)。

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

继续向上查询，得知 GlobalSign Root CA - R6 除了为信任锚外，还与 GlobalSign Root CA (01SEP1998 - 28JAN2028, root-r1) 有背书，那么解决方案呼之欲出————拼接 GlobalSign GCC R6 AlphaSSL CA 2023, GlobalSign Root CA - R6 和 GlobalSign Root CA 即可解决问题。

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程嵌入式,操作系统,兼容性,浏览器,GlobalSignRootCA

©dz插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
本站信息来自网络，版权争议与本站无关。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
如有侵权请邮件与我们联系处理:discuz-x@qq.com（手机随时接收邮件）并出示相关证明以便删除。敬请谅解！

拾光 · 发表于 2024-2-15 23:13:21

证书连有问题的可以直接到第三方直接修护就可以了给你们工具https://myssl.com/chain_download.html
但是根证书始终是2014年的，在老设备还是会存在问题。还是之前1998的兼容性强呀！没办法咯

独家记忆 · 发表于 2024-2-15 23:14:06

实际上你无论怎么搞，根证书都是2014的哪个了，不再是1998的哪个了。

Crystαl · 发表于 2024-2-15 23:14:53

将以下代码块附加在叶子证书（第一个 BEGIN CERTIFICATE 起到第一个 END CERTIFICATE 止）后作为证书链：

https://pastebin.ubuntu.com/p/QNSRBbCC3G/

（你 loc 怎么这么多和谐词，，，）

拾光 · 发表于 2024-2-15 23:15:24

好难懂啊。。。。紫薯补丁。。。。不过谢谢楼主。。。查看楼主博客链接得好好烟酒一下

https://blog.iks.moe/archives/AlphaSSL-2023-GlobalSign-R6-fullchain.html

Crystαl · 发表于 2024-2-15 23:15:32

好帖，前两天也遇到这个问题了，没想到这个方案解决。:shutup:

简单来说就是自己的CERTIFICATE段，再加上楼主提供的两段即可修复，我在我自己的Android9上测试已经可以了。

独家记忆 · 发表于 2024-2-15 23:16:23

如果在正规商家购买的话，直接reissue就可以了，会用新的CA签发，并且无需任何费用。

IT618发布 · 发表于 2024-2-15 23:17:19

射射！！果然解决了。。。。嘢{:2_34:}

TyCoding · 发表于 2024-2-15 23:18:16

@iks 本来Alpha提供的pem有两条-----BEGIN CERTIFICATE-----

然后添加上楼主的两条，，pem一共有四条-----BEGIN CERTIFICATE-----

但SSL可以正常使用

请问可以精简吗？

浅生 · 发表于 2024-2-15 23:18:38

太高端了，看不懂，IP已送

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程

马上注册，免费下载更多dz插件网资源。

相关帖子

电梯直达
评论10

回复

More猜你喜欢

关于我们

服务支持

discuzaddons@vip.qq.com

AlphaSSL 新证书 GlobalSign GCC R6 AlphaSSL CA 2023 证书链修复教程

马上注册，免费下载更多dz插件网资源。

相关帖子

电梯直达 评论10

回复

More猜你喜欢

关于我们

服务支持

discuzaddons@vip.qq.com

电梯直达
评论10