flo2cash.com opensslリンクが以下を提供していることを確認しようとしています。
openssl s_client -showcerts -connect flo2cash.com:443
CONNECTED(00000003)
depth=3 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Certification Authority
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Domain Validation Secure Server CA
depth=0 OU = Domain Control Validated, OU = Hosted by FreeParking Ltd, OU = COMODO SSL, CN = flo2cash.com
ルートが「AddTrust 外部 CA ルート」であることを示します。 ChromeとFirefoxは両方ともチェーンに3つのレベルしか表示しません。証明書は「COMODO RSA認証局」にルートがあります。
チェーンの最後の証明書を確認すると、次の結果が表示されます。
subject= /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
issuer= /C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
notBefore=May 30 10:48:38 2000 GMT
notAfter=May 30 10:48:38 2020 GMT
この証明書は実際には非常に古いです。
マイコンピュータ（最新バージョンにパッチされたFedora 25）とブラウザのCAバンドルで見つけることができるものは次のとおりです。
subject= /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
issuer= /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
notBefore=Jan 19 00:00:00 2010 GMT
notAfter=Jan 18 23:59:59 2038 GMT
その古い証明書はどこかから来るでしょう。
ベストアンサー1
私のMintノートブックに古い資格：
$ openssl x509 -noout -subject -issuer -in /usr/share/ca-certificates/mozilla/COMODO_RSA_Certification_Authority.crt
subject= /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
issuer= /C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority
openssl s_clientCOMODO RSA Certification Authority上記のルートが署名した最上位 CA 証明書を返します。
$ openssl s_client -connect flo2cash.com:443
CONNECTED(00000003)
depth=3 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
verify return:1
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Certification Authority
verify return:1
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Domain Validation Secure Server CA
verify return:1
depth=0 OU = Domain Control Validated, OU = Hosted by FreeParking Ltd, OU = COMODO SSL, CN = flo2cash.com
verify return:1
---
/etc/ca-certificates.conf上記のルートCA証明書（mozilla/AddTrust_External_Root.crt）を含む行を編集して選択解除します。
#
# line begins with # is comment.
# line begins with ! is certificate filename to be deselected.
#
mozilla/ACCVRAIZ1.crt
mozilla/ACEDICOM_Root.crt
!mozilla/AC_Raíz_Certicámara_S.A..crt
mozilla/Actalis_Authentication_Root_CA.crt
!mozilla/AddTrust_External_Root.crt
mozilla/AddTrust_Low-Value_Services_Root.crt
mozilla/AddTrust_Public_Services_Root.crt
mozilla/AddTrust_Qualified_Certificates_Root.crt
update-ca-certificatesキャッシュを書き換えるには実行してください。
その後はブラウザと同じチェーンを取得します。
$ openssl s_client -connect flo2cash.com:443 -showcerts
CONNECTED(00000003)
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Certification Authority
verify return:1
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Domain Validation Secure Server CA
verify return:1
depth=0 OU = Domain Control Validated, OU = Hosted by FreeParking Ltd, OU = COMODO SSL, CN = flo2cash.com
verify return:1
---
クライアントが最終エンティティ証明書からルートCA証明書まで構築するパスは、クライアント内でプログラムされたロジックによって異なります。これは仕様で定義されていないため、各特定のクライアント開発者の解釈に依存します。
OpenSSL で 2 つのルート CA 証明書を有効にすると、表示される最初のパスが選択されます。ブラウザは可能なので別の選択をすることになります。