Op 5GHz fourmelding; NET::ERR_CERT_AUTHORITY_INVALID

[Tiic]

Zit mijn een klein maar maar wel redelijk vervelend probleempje.

Krijg thuis wanneer ik tweakers.net wil openen vaker een NET::ERR_CERT_AUTHORITY_INVALID error.

Nu zijn mij een paar zaken opgevallen;

- Via smartphones krijg ik deze melding altijd wanneer ik op 5GHz zit
- Met de laptop(s) krijg ik deze melding bijna altijd wanneer ik op de 2de router(2,4GHz) zit aangesloten.
- Bedraad krijg ik deze melding nooit.

Vindt dit een beetje raar, probleem is zeer hoogst waarschijnlijk aan mijn kant maar zou niet weten wat het probleem nou precies is.

Er staan hier 3 routers, 1 standaard ding van ziggo voor de verbinding naar buiten en 2x een TP-Link Archer C7

Op de archer #1 werkt als wifi bakkie voor de begaande grond / tuin.
Archer #2 werkt alleen als dhcp server en wifi(5GHz) bakkie voor de 1e verdieping / zolder.
Înstellingen zijn het zelfde op de dhcp settings en de SSID's na.


Heb ook staan googlen maar het enige wat ik heb kunnen vinden is een of andere setting aanpassen in chrome wat niet hielp.


Alle suggesties zijn welkom

[vanaalten]

Klinkt voor mij alsof je netwerksetup wat dubieus kan zijn.

Doet je Ziggo-modem ook nog DHCP server zijn?
Hoe zijn beide TP-Links aangesloten? WAN poort gebruikt, of alles op de LAN poort?

En bij wijze van test: schakel beide TP-links eens uit en probeer al je apparatuur (eventueel keertje rebooten zodat 'ie alles aan netwerk vergeten is) eens via de Ziggo modem - en kijk of dat het probleem oplost?

[Tiic]

Ziggo modem werkt niet meer als dhcp nee (dubbele dhcp zou sowieso niet goed gaan )

De TP-links zijn gewoon via de LAN poort aangesloten.

Heb zelf ook al een paar keer geprobeerd alles te resetten en direct met de ziggo modem te werken maar ook hierbij blijft het probleem bestaan.

Side-Note, gaat alleen om Chrome browsers.
Maar gezien ik niet echt aan andere browser kan wennen zou ik liever willen proberen dit probleem op te lossen

[lier]

Bij certificaat fouten is het handig om even naar het certificaat te kijken dat meegegeven wordt. Meestal geeft dat een goede aanwijzing van wie het certificaat afkomstig is (als het om een man-in -the-middle) gaat.

Kan je de content van het certificaat hier posten?

[Damic]

kijk eens of je klok van de routers wel juist staat

[lier]

De 5GHz klok!? 😉

[Tiic]

Certificaat blijkt afkomstig van letsencrypt.org en gewoon op naam van tweakers.
Weet niet of er verder andere manieren zijn om dit te controleren?

De klok van de routers stond inderdaad fout , maar het goed zetten vervolgd door een reboot heeft niet gehlopen


Edit;

P.S man in the middle gaat meestal toch om publieke netwerken?
Of kan dat thuis ook gewoon?

[ Voor 16% gewijzigd door Tiic op 25-12-2016 20:23 ]

[Blokker_1999]

Dat kan thuis ook, maar daarom hoeft het nog niet thuis te gebeuren.

Grote kanshebbers hier zijn trouwens software die je geinstalleerd hebt om jezelf te beschermen. Sommige virusscanners durven bijvoorbeeld al wel eens met certificaten knoeien.

[Tiic]

Ah ok.
Gebruik zelf Eset smart security, lijkt me sterk dat zo'n groot bedrijf als Eset met certificaten knoeit

[laurens0619]

Tiic schreef op maandag 26 december 2016 @ 00:55:
Ah ok.
Gebruik zelf Eset smart security, lijkt me sterk dat zo'n groot bedrijf als Eset met certificaten knoeit

Google maar eens hierop, dat doen endpoint produdten wel schakel de ssl scan feature maar eens uit (of heel eset). Alleen niet te linken met het 5ghz prob..

[Tiic]

Zal daar eens op googlen.
Maar eset staat alleen op de desktop.

Gaat namelijk ook met smartphones en laptops die windows defender of geen antivirus software hebben.

Erg raar.
Denk persoon dat chrome een of andere setting in het netwerk hier niet leuk vindt, maar zou niet weten wat (is een gok)

[lier]

CERT_AUTHORITY duidt op dat de certificate authoritie(s) niet bijgewerkt zijn. Zijn je systemen wel helemaal bijgewerkt?

[Tiic]

Alle systemen zijn gewoon volledig bijgewerkt ja.

[Zr40]

Post eens een screenshot van het root certificaat dat volgens je browser ongeldig is. Hoe je dit certificaat tevoorschijn haalt is afhankelijk van je browser en OS, maar in de huidige versie van Chrome in Windows doe je dit zo: open developer tools, security tab, view certificate, certification path, maak hier een screenshot van. Voor meer details, selecteer het hoogste certificaat dat als ongeldig wordt aangemerkt, view certificate, maak screenshot van de General en Details tabs.

Zo ziet het certification path er uit als alles in orde is:

[ Voor 30% gewijzigd door Zr40 op 26-12-2016 16:15 ]

[Tiic]

Screenshots deden wat raar met overzetten dus even foto gemaakt.
Plaats even linkjes, foto's worden ander te groot vertoond hier

Dit is bijvoorbeeld op een laptop met een clean windows 7 installatie met Microsoft MSE als beveiliging op een 2.4GHz netwerk;
https://i.gyazo.com/a7162943627b768f238ae09124ff23e4.jpg


Dit is op een Windows 10 systeem met Eset smart security (bekabeld), deze heeft nooit problemen gehad met tweakers.net;
https://i.gyazo.com/75f3e1d661b260763ab572a908bed3fc.png

En dit op een android telefoon (2,4GHz / 5GHz), doet het soms wel goed soms niet;

https://i.gyazo.com/f490285cd7e1c290b1eccab671c1bcbe.jpg
https://i.gyazo.com/269c82a9fd0715249c910a8efdbccbe7.jpg

[hcQd]

Gebruik je soms OpenDNS? Het Cisco Umbrella certificaat leidde me namelijk naar deze pagina.

[Tiic]

Af en toe ja.
Maar gebruik de laatste 2 weken weer de standaard ziggo dns servers.

[Zr40]

Op je eerste foto is te zien dat het ongeldige certificaat afkomstig is van een CA genaamd "Cisco Umbrella Secondary SubCA ams-SG". Het lijkt er op dat er een MITM (man in the middle) actief is wanneer je met dat netwerk verbonden bent. Welk IP adres krijg je te zien als je in dat geval tweakers.net pingt?

Overigens raad ik af om dit root certificaat volgens de instructies van OpenDNS te vertrouwen. Als OpenDNS inderdaad een MITM-techniek gebruikt (al dan niet voor een legitiem doel) voor alle https-websites, dan kan je browser problemen met het echte certificaat niet detecteren omdat deze door de MITM verborgen wordt.

[ Voor 7% gewijzigd door Zr40 op 26-12-2016 16:46 ]

[Tiic]

Op de vaste pc waar het goed werkt krijg ik een response van; 213.239.154.31
En waar ik de errors krijg; 146.112.61.106 > blijkt ook iets van openDNS te zijn.


De DHCP server deelt trouwens deze DNS adressen uit (van ziggo);
84.116.46.21
84.116.46.20