Hoi,
Ik weet wel wat van SSL maar heb er te weinig ervaring mee om definitieve conclusies te trekken over onderstaand geval. Geen idee waar ik mensen moet vinden die het wel weten, dus ik probeer het eerst hier.
Wanneer ik https://mijn.ing.nl/ bezoek met een normale browser, gaat alles prima. Wanneer ik wget of curl gebruik, krijg ik een foutmelding met betrekking tot het certificaat. De vraag is of curl/wget fout zit, of ING.
Uitvoeren van
geeft onder meer de volgende output:
Dit laatste certificaat kan openssl lokaal niet valideren. (Het vorige certificaat in de chain wel, wat ook de reden kan zijn dat browsers niet moeilijk doen, maar openssl is kennelijk nogal braaf in het volledig afwerken van de meegegeven chain voordat lokaal wordt gevalideerd)
Bekijken we dit certificaat nader, dan staat er het volgende in:
Het vreemde is nu, dat deze serial niet staat in de lijst Root CA's van verisign op http://www.verisign.com/repository/root.html, wat volgens mij de reden is dat dit laatste certificaat in de chain niet gevalideerd kan worden, aangezien ik dus ook geen certificaat met die serial op mijn systeem heb staan.
Op mijn systeem staat alleen een "Class 3 Public Primary Certification Authority" met serial 70:ba:e4:1d:10:d9:29:34:b6:38:ca:7b:03:cc:ba:bf, conform de verisign lijst.
Het aantal google hits is ook veelzeggend: De 70:ba:... serial geeft er 3000, de 3c:91:... slechts 160, en die gaan vooral over problemen.
In japan kent verisign deze CA wel: https://www.verisign.co.jp/repository/root.html
Kortom, ik kan er weinig mee. Iemand anders wel?
Ik weet wel wat van SSL maar heb er te weinig ervaring mee om definitieve conclusies te trekken over onderstaand geval. Geen idee waar ik mensen moet vinden die het wel weten, dus ik probeer het eerst hier.
Wanneer ik https://mijn.ing.nl/ bezoek met een normale browser, gaat alles prima. Wanneer ik wget of curl gebruik, krijg ik een foutmelding met betrekking tot het certificaat. De vraag is of curl/wget fout zit, of ING.
Uitvoeren van
code:
1
| $ openssl s_client -connect mijn.ing.nl:443 -showcerts |
geeft onder meer de volgende output:
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
| depth=2 /C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc. - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5 verify error:num=20:unable to get local issuer certificate verify return:0 ... 2 s:/C=US/O=VeriSign, Inc./OU=VeriSign Trust Network/OU=(c) 2006 VeriSign, Inc. - For authorized use only/CN=VeriSign Class 3 Public Primary Certification Authority - G5 i:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority -----BEGIN CERTIFICATE----- MIIFSTCCBLKgAwIBAgIQbzt05FcLAFOEuhH6e7cn0DANBgkqhkiG9w0BAQUFADBf MQswCQYDVQQGEwJVUzEXMBUGA1UEChMOVmVyaVNpZ24sIEluYy4xNzA1BgNVBAsT LkNsYXNzIDMgUHVibGljIFByaW1hcnkgQ2VydGlmaWNhdGlvbiBBdXRob3JpdHkw HhcNMDYxMTA4MDAwMDAwWhcNMjExMTA3MjM1OTU5WjCByjELMAkGA1UEBhMCVVMx FzAVBgNVBAoTDlZlcmlTaWduLCBJbmMuMR8wHQYDVQQLExZWZXJpU2lnbiBUcnVz dCBOZXR3b3JrMTowOAYDVQQLEzEoYykgMjAwNiBWZXJpU2lnbiwgSW5jLiAtIEZv ciBhdXRob3JpemVkIHVzZSBvbmx5MUUwQwYDVQQDEzxWZXJpU2lnbiBDbGFzcyAz IFB1YmxpYyBQcmltYXJ5IENlcnRpZmljYXRpb24gQXV0aG9yaXR5IC0gRzUwggEi MA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQCvJAgIKXo1nmAMqudLO07cfLw8 RRy7K+D+KQL5VwijZIUVJ/XxrcgxiV0i6CqqpkKzj/i5Vbext0uz/o9+B1fs70Pb ZmIVYc9gDaTY3vjgw2IIPVQT60nKWVSFJuUrjxuf6/WhkcIzSdhDY2pSS9KP6HBR TdGJaXvHcPaz3BJ023tdS1bTlr8Vd6Gw9KIl8q8ckmcY5fQGBO+QueQA5N06tRn/ Arr0PO7gi+s3i+z016zy9vA9r911kTMZHRxAy3QkGSGT2RT+rCpSx4/VBEnkjWNH iDxpg8v+R70rfk/Fla4OndTRQ8Bnc+MUCH7lP59zuDMKz10/NIeWiu5T6CUVAgMB AAGjggIUMIICEDAPBgNVHRMBAf8EBTADAQH/MDEGA1UdHwQqMCgwJqAkoCKGIGh0 dHA6Ly9jcmwudmVyaXNpZ24uY29tL3BjYTMuY3JsMA4GA1UdDwEB/wQEAwIBBjA9 BgNVHSAENjA0MDIGBFUdIAAwKjAoBggrBgEFBQcCARYcaHR0cHM6Ly93d3cudmVy aXNpZ24uY29tL2NwczAdBgNVHQ4EFgQUf9Nlp8Ld7LvwMAnzQzn6Aq8zMTMwNAYD VR0lBC0wKwYJYIZIAYb4QgQBBgpghkgBhvhFAQgBBggrBgEFBQcDAQYIKwYBBQUH AwIwNAYIKwYBBQUHAQEEKDAmMCQGCCsGAQUFBzABhhhodHRwOi8vb2NzcC52ZXJp c2lnbi5jb20wbQYIKwYBBQUHAQwEYTBfoV2gWzBZMFcwVRYJaW1hZ2UvZ2lmMCEw HzAHBgUrDgMCGgQUj+XTGoasjY5rw8+AatRIGCx7GS4wJRYjaHR0cDovL2xvZ28u dmVyaXNpZ24uY29tL3ZzbG9nby5naWYwgYAGA1UdIwR5MHehY6RhMF8xCzAJBgNV BAYTAlVTMRcwFQYDVQQKEw5WZXJpU2lnbiwgSW5jLjE3MDUGA1UECxMuQ2xhc3Mg MyBQdWJsaWMgUHJpbWFyeSBDZXJ0aWZpY2F0aW9uIEF1dGhvcml0eYIQPJExyx/2 0BsOmrjQRL8SvjANBgkqhkiG9w0BAQUFAAOBgQCVh3cXQdaK3rWRk8GhzUHXQcwf 5iMaasJ2ReGKfQPoiM+17VT6m2eCVbOcWt2yg1d8DXiGMw/WZ2bJxqsIHUQ7c872 j14/aRj+JCCtFUZWbWTkHq/Lc8eLE5NVgMCJJFITe+/ypHElQeFjng+Iyzo0x0vD /Fj66udC0xwxi5pTPA== -----END CERTIFICATE----- |
Dit laatste certificaat kan openssl lokaal niet valideren. (Het vorige certificaat in de chain wel, wat ook de reden kan zijn dat browsers niet moeilijk doen, maar openssl is kennelijk nogal braaf in het volledig afwerken van de meegegeven chain voordat lokaal wordt gevalideerd)
Bekijken we dit certificaat nader, dan staat er het volgende in:
code:
1
2
3
4
5
| $ openssl x509 -in ing_c3g5_cert -text -noout
..
X509v3 Authority Key Identifier:
DirName:/C=US/O=VeriSign, Inc./OU=Class 3 Public Primary Certification Authority
serial:3C:91:31:CB:1F:F6:D0:1B:0E:9A:B8:D0:44:BF:12:BE |
Het vreemde is nu, dat deze serial niet staat in de lijst Root CA's van verisign op http://www.verisign.com/repository/root.html, wat volgens mij de reden is dat dit laatste certificaat in de chain niet gevalideerd kan worden, aangezien ik dus ook geen certificaat met die serial op mijn systeem heb staan.
Op mijn systeem staat alleen een "Class 3 Public Primary Certification Authority" met serial 70:ba:e4:1d:10:d9:29:34:b6:38:ca:7b:03:cc:ba:bf, conform de verisign lijst.
Het aantal google hits is ook veelzeggend: De 70:ba:... serial geeft er 3000, de 3c:91:... slechts 160, en die gaan vooral over problemen.
In japan kent verisign deze CA wel: https://www.verisign.co.jp/repository/root.html
Kortom, ik kan er weinig mee. Iemand anders wel?
:strip_icc():strip_exif()/u/25852/bowmore_18k.jpg?f=community)
:strip_icc():strip_exif()/u/4167/bacall8.jpg?f=community)
:strip_exif()/u/29138/caffeine.gif?f=community)
