Як сказати, чому macOS вважає, що сертифікат відкликаний?

42

Я не можу отримати доступ до Вікіпедії на обох своїх Mac. macOS каже, що проміжний сертифікат, який використовується для підписання сертифікату Вікіпедії ( GlobalSign Organization Validation CA - SHA256 - G2), анульовано.

Я не вірю, що відповідний сертифікат був відкликаний, тому я перевірив CRL і OCSP служби GlobalSign вручну і обидва кажуть мені, що сертифікат у порядку.

Чи є інші джерела CRL, які macOS потенційно може використовувати? Чи можна попросити Security Framework сказати мені, що саме з цим сертифікатом не так?

— кирелагін
джерело

також бачимо це у wikipedia / maxcdn / ...

— Somatik

1

Я також стикався з цим на своєму Mac (Сьєрра) під час відвідування Вікіпедії. Він працює на моєму пристрої iOS

— Panda

1

Вікіпедія розміщує на всіх сайтах новий серт, який не впливає на проблеми, прямо зараз: phabricator.wikimedia.org/T148045

— pietrodn

3

Жодна з наведених нижче відповідей навіть не намагається відповісти на питання. Усі вони намагаються знайти обхід…

— klanomath

1

@klanomath Я б сказав так: всі намагаються усунути наслідки, знаючи першопричину, тоді як керування - як діагностувати проблему.

— kirelagin

40

Я спробував, crlrefresh rpа також вручну видалити кеш OCSP, sudo rm /var/db/crls/*cache.dbяк це документально підтверджено GlobalSign .

Однак схоже, кеш знаходиться в іншому місці на macOS 10.12 Sierra. Наступна команда працювала для мене і вирішила проблему:

$ sqlite3 ~/Library/Keychains/*/ocspcache.sqlite3 'DELETE FROM responses WHERE responderURI LIKE "%http://%.globalsign.com/%";'

Я також спробував видалити всю базу даних, але вона, схоже, не повертається автоматично.

Якщо ви не впевнені, краще просто відновити ~/Library/Keychains/*/ocspcache.sqlite3*(включаючи -shmта -wal) з резервної копії до того, як сервери OCSP почали давати неправильні відповіді, наприклад з вчорашнього дня.

— райдуга
джерело

3

Я використовую macOS Sierra, і ця команда sqlite вирішила проблему і для мене. Мені не потрібно було виходити або навіть виходити з браузера. Я зробив резервну копію ocspcache.sqlite3 спочатку.

— Ден Різ

1

Це вирішило проблему Вікіпедії на Safari, але Chrome все ще блокує мене.

— Бенр

Здається, проблема виникає періодично, але повторне виконання цієї команди виправляє її знову.

— Ден Різ

Нічого собі, а під "періодичністю" я маю на увазі приблизно кожні кілька хвилин. Можливо, це не справжнє виправлення.

— Ден Різ

1

Він працює для мене на Safari, а також на Chrome. Chrome потребував перезавантаження браузера.

— пітродн

19

Можливо, це, здається, у GlobalSign виникла проблема з їх OCSP. Це взято з їхнього щебета ( https://twitter.com/globalsign/status/786505261842247680?lang=da )

Зараз ми відчуваємо проблеми з нашим OCSP, який спричиняє попередження про сертифікати. Ми прагнемо виправити це якомога швидше.

І також

ОНОВЛЕННЯ: Якщо ви користувач MAC, очистіть кеш crlrefresh rp

або Переглянути та / або Видалити CRL, кеш OCSP

— Майкл Хансен
джерело

1

Власне, я вже пробував crlrefresh rpі, здається, не допомагає. У будь-якому випадку, що я шукаю - це спосіб переконати macOS сказати мені точну причину, чому він вважає, що сертифікат поганий (будь то OCSP чи щось інше).

— kirelagin

Вплив, ймовірно, буде залежати від того, чи були вирішені проблеми вище за течією?

— Андре М

Очищення кешів не вирішило проблему для мене, але принаймні я маю відзначення проблеми.

— Йордан Томас

Зараз існує прес-реліз сортів: globalsign.com/en/customer-revocation-error

— Петро

0

Спробував інструкцію, надану компанією Global Sign, але це мені не дуже допомогло.

sudo rm /var/db/crls/*cache.dbНасправді не допомогло, оскільки є ще один файл кешу, crlcache2.dbякий не відповідав *cache.dbкритеріям.

Моє рішення було також видалити цей файл, а потім перезавантажити.

sudo rm /var/db/crls/crlcache2.db

Я думаю, що це безпечно, sudo rm /var/db/crls/*тому що в папці зберігаються лише файли кешу. Але якщо ви вирішили це зробити, робіть це на свій страх і ризик.

— DawTaylor
джерело

0

MacOS вважає, що сертифікат був анульований, оскільки проміжний сертифікат у його ланцюжку довіри був (випадково) відкликаний. Див. Статтю Глобальне вивільнення GlobalSign скасовує HTTPS-сертифікати топ-сайтів .

Повідомлення про помилку, яке ви бачите, вказує вам саме, який проміжний сертифікат був відкликаний. Що ще ви хочете знати?

— Ерік Вежі
джерело

-3

Інший варіант - перейти на веб-сайт, який ви ніколи не використовуєте, на якому використовується глобальний знак, наприклад (для будь-яких мовців англійською мовою) https://it.wikipedia.org (італійська wikipedia), і коли він каже, що невірний cert явно довіряє глобальному знаку сертифікат, доки цей CF не буде правильно зафіксований

— Саймон
джерело

3

Це погана ідея, ІМО. Я завжди сприймаю попередження про сертифікати дуже серйозно і не продовжую. Що робити, якщо ОП було MITM'd, і вони просто сліпо клацнули через це попередження?

— grooveplex

1

Будь ласка, не робіть цього. Якщо цей сертифікат коли-небудь буде відкликаний з важливих причин, то ваша система буде ігнорувати це скасування, поки ви не видалите явну довіру. Промивання кешу OCSP є набагато ефективнішим та безпечнішим способом вирішити цю проблему.

— Джошперрі