问题标签 [root-certificate]

我有一个在 google appengine SE 上运行的带有 python 的应用程序。

现在，一些服务器期望在此应用程序上安装某个根 ca。

我找到了有关 gcp 支持的根 ca 列表的信息，如下所示。 https://pki.goog/repository/

列表中未找到所需的 ca，应以某种方式在 ssl 握手时在应用程序上使用。

我想问2个问题。

1. 有没有办法在谷歌 appengine SE 上设置 root ca 或扩展列表？
2. 我应该在源代码中为证书模块引用的证书文件设置路径或环境值吗？

我正在尝试使用 Powershell 在 win server 2012r2 机器上创建自签名证书。目的是将流量从 HTTP 重定向到 HTTPS。

一个。在创建客户端证书之前，我们是否总是需要一个自签名的根证书？如果是，我们如何重新利用现有的自签名根证书？

湾。如果我们使用现有的自签名根证书创建客户端证书，我看到的 Powershell 命令与 win2012R2 不兼容。有人可以分享特定于版本的命令吗？

我有一个使用第三方 WCF 服务的 .NET Core 3 Web 服务。该服务托管在使用我需要信任的私有根证书的服务器上，但前提是它有效（未过期且具有有效签名）。

我正在使用 Azure 应用服务。Azure 在其较低层的服务计划中不支持自定义证书颁发机构。隔离计划支持它，但它的成本要高出 5 倍，并且对于信任根证书的单一目的来说会是过度的。

我正在寻找解决方法。有使用 HttpClient 的解决方案HttpClientHandler.ServerCertificateCustomValidationCallback。但是，WCF 引用不使用 HttpClient；它使用基于 ClientBase 的自动生成的客户端代码。

然后有一些较旧的解决方案可以完全禁用 .NET 中的证书验证，System.Net.ServicePointManager.ServerCertificateValidationCallback但 .NET Core 不支持。即使是这样，我也不想完全禁用验证；我希望它仍然验证一切，除了它应该信任特定的根证书。

有没有办法将受信任的根证书提供给基于 ClientBase 的客户端，或者拦截其验证机制但不会引入严重的安全漏洞？我不想开始盲目地接受任何随机证书。

我正在尝试创建一个以 2 路 TLS 使用的客户端证书。我创建了一个自签名根证书：

如何从中创建中间证书？另外，如何使用生成的根证书和中间证书创建要在 2 路 TLS 中使用的证书？

我遵循了本教程，该教程解释了从自签名根证书创建证书。但我需要同时使用根证书和中间证书生成证书。

请帮忙！

This relates to DST Root CA X3 Expiration (September 2021)
When searching online for a fix to apply on an older server (Debian 8 in my case) that does call to sites encrypted with letsencrypt with curl, they now seem to fail with the following message:

Example:

Fails silently, then trying it manually and removing the silent flag and bash pipe like this:

Trying the following commands doesn't solve the issue:

What can I do!? (answering my own question) ⬇️

我们越来越多地开发支持无线的物联网设备，这些设备通过 LTE-M 或 NB-IoT 连接到网络。一个重要部分是无线固件升级 (FOTA)，在某些情况下必须通过 HTTPS 完成，因为客户端希望防止有人能够读取升级二进制文件。为了通过 HTTPS 进行安全通信，我们将根证书存储在微控制器上。

现在我想知道：如果这些证书过期（大约 5 年或 10 年左右），那会发生什么？是否存在新旧证书都有效的过渡期，或者这是如何工作的？

谢谢，西蒙

对于我正在查看 TLS 证书链的课程google.com。当我在 Chrome 或 Firefox 浏览器中单击时，根证书显示为GTS Root R1有效期至 2036，自签名，因此它必须是根证书。

但是，如果我使用以下代码在 Python 中进行检查，我会得到GTS Root R1一个有效期为 2028 的证书，该证书由 签名GlobalSign nv-sa，所以这次它不是根证书！

Google.com 是否有可能根据请求的客户端返回两个不同的证书链？如果它假设客户端接受GTS Root R1作为根证书，它返回这个，否则它返回一个签名的GlobalSign nv-sa？

如果是这样，为什么？

以下是带有证书及其摘要/sha256 的链。现在，当我在浏览器中查看证书链时，前两个具有相同的digest/ sha-256，但第三个具有不同的digest. 所以我绝对认为我会根据客户获得不同的链条......

我用来获取证书的python代码：