1、问题现象 使用自签名的证书后，chrome报错此服务器无法证实它就是 www.webrtc.cn 它的安全证书没有指定主题备用名称。这可能是因为某项配置有误或某个攻击者拦截了您的连接。...错误码是NET::ERR_CERT_COMMON_NAME_INVALID： 如下图所示： 2、问题原因 生成证书的时候没有加上备用名称字段，目前的浏览器校验证书都需要这个字段。...3、解决方法 生成证书的时候需要添加上备用名称(subjectAltName)扩展字段。...= *.dyxmq.cn DNS.2 = *.maqian.xin DNS.3 = *.maqian.io DNS.4 = *.maqian.co DNS.5 = *.maqian.cn 在DNS.x的地方填写上自己的域名...，如果多个域名，可以按照规律DNS.1/DNS.2/DNS.3/...来添加,同时还支持IP地址的形式，填入IP.1 = x.x.x.x就可以了。
错误如下: ? 问题的原因是“SSL: CERTIFICATE_VERIFY_FAILED”。...Python 升级到 2.7.9 之后引入了一个新特性，当使用urllib.urlopen打开一个 https 链接时，会验证一次 SSL 证书。...\ 而当目标网站使用的是自签名的证书时就会抛出一个 urllib2.URLError: 的错误消息，详细信息可以在这里查看（https://www.python.org/dev/peps/pep-0476/）。...使用ssl创建未经验证的上下文，在urlopen中传入上下文参数 import ssl import urllib2 context = ssl.
"SSL: CERTIFICATE_VERIFY_FAILED"错误通常在使用Python的requests或urllib等库进行HTTPS请求时出现，它表明SSL证书验证失败。...这可能是由于服务器证书无效、过期、自签名或缺失等原因所致。...在requests中可以这样做：import requestsrequests.get('https://example.com', verify=False)使用自定义CA证书： 如果你的服务器证书是自签名的...有时，缺少中间证书或根证书可能导致验证失败。检查网络代理： 如果你的网络使用代理，确保代理配置正确，并不会干扰SSL证书验证。...请注意，忽略证书验证或使用自定义CA证书都是暂时解决方案，不推荐在生产环境中长期使用。在生产环境中，请确保服务器证书的合法性和正确性，并正确配置SSL证书验证。
证书验证过程中遇到了锚点证书，锚点证书通常指：嵌入到操作系统中的根证书(权威证书颁发机构颁发的自签名证书)。...证书验证失败的原因 无法找到证书的颁发者 证书过期 验证过程中遇到了自签名证书，但该证书不是锚点证书。...对于非自签名的证书，即使服务器返回的证书是信任的CA颁发的，而为了确定返回的证书正是客户端需要的证书，这需要本地导入证书，并将证书设置成需要参与验证的锚点证书，再调用SecTrustEvaluate通过本地导入的证书来验证服务器证书是否是可信的...自签名证书验证实现 对于自签名证书，这样Trust Object中的服务器证书是不可信任的CA颁发的，直接使用SecTrustEvaluate验证是不会成功的。...可以采取下述简单代码绕过HTTPS的验证： ? 上述代码一般用于当服务器使用自签名证书时，为了方便测试，客户端可以通过该方法信任所有自签名证书。
采用CA的私钥对信息摘要进行加密，密文即签名； (4) 客户端在HTTPS握手阶段向服务器发出请求，要求服务器返回证书文件； (5) 客户端读取证书中的相关的明文信息，采用相同的散列函数计算得到信息摘要...；颁发者和使用者相同，自己为自己签名，叫自签名证书； (4) 证书=公钥+申请者与颁发者信息+签名； 3.HTTPS协议原理 (1) HTTPS的历史 HTTPS协议历史简介： (1) SSL协议的第一个版本由...出现此类错误通常可能由以下的三种原因导致： (1) 颁发服务器证书的CA未知； (2) 服务器证书不是由CA签署的，而是自签署(比较常见)； (3) 服务器配置缺少中间 CA； 当服务器的CA不被系统信任时...可能是购买的CA证书比较新，Android系统还未信任，也可能是服务器使用的是自签名证书(这个在测试阶段经常遇到)。 ...(1) 整体结构 不管是使用自签名证书，还是采取客户端身份验证，核心都是创建一个自己的KeyStore,然后使用这个KeyStore创建一个自定义的SSLContext。整体类图如下： ?
握手过程的最后一条消息和安全连接中的第一条加密消息是Finished，下下面是一个例子。 ?...自签名 值得注意的是，所有根CA证书都是“自签名的”，也就是说数字证书是使用CA自己的私钥生成的。和其他证书相比，CA证书没有什么特殊的地方。...你完全可以生成自己的自签名证书，并根据需要使用此证书来签署其他证书。只不过你的证书并没有作为CA预先加载到其他人的浏览器里，其他人都不会相信你你签署证书或者其他证书。...如果你胆敢宣称“我是微软，这是我自己签发和签署的官方证书”，所有的浏览器都会因为这个错误的凭证抛出一个非常可怕的错误信息。 ? 。...公司可以将自己的自签名证书添加到电脑的CA列表中。因为浏览器信任其伪造的签名，因此公司可以提供声称代表相应网站的证书，来拦截你所有的HTTPS请求。
证书验证过程中遇到了锚点证书，锚点证书通常指：嵌入到操作系统中的根证书(权威证书颁发机构颁发的自签名证书)。...证书验证失败的原因 无法找到证书的颁发者 证书过期 验证过程中遇到了自签名证书，但该证书不是锚点证书。...对于自签名证书，这样Trust Object中的服务器证书是不可信任的CA颁发的，直接使用SecTrustEvaluate验证是不会成功的。...，为了方便测试，客户端可以通过该方法信任所有自签名证书。...假如是自建证书的，则不使用第二步系统默认的验证方式，因为自建证书的根CA的数字签名未在操作系统的信任列表中。 转载 原文地址
： 身份验证： 自签名证书可以用于验证客户端的身份。...在 Nginx 中实现客户端使用自签名证书供服务器验证 要在 Nginx 中实现客户端使用自签名证书供服务器验证，需要执行以下步骤： 1....这个命令生成了一个自签名的客户端证书。...通过这些命令，成功生成了一个自签名的客户端证书和私钥，可以用于客户端与服务器之间的安全通信。 请注意，这些证书和密钥是自签名的，因此在生产环境中可能需要进行更严格的安全性配置。 3....通过这个命令，您可以模拟客户端连接并查看服务器的 SSL 配置是否正确。 检查服务器日志： 检查服务器的日志文件，查看是否有关于 SSL 握手失败的错误消息。
所以服务器发给客户端的证书上还会带有CA的公章（签名），客户端看到CA的公章后就放心了相信服务器的身份了。 看到这你可能又会问了，客户端凭啥相信CA？...还真有，那就是自签名证书。 我们已经知道CA就是互联网中发身份证的公安局，但CA和现实中的公安局还是有区别的。...然而互联网中的CA就有很多家，甚至是个人都可以自己刻个萝卜章自建CA，而这种自建CA签发的证书就叫自签名证书。...然而操作系统只认受信任的根证书颁发机构列表里的那几个CA，我们自己刻萝卜章建的CA对于操作系统来说是不安全的，所以在浏览器打开这种用自签名证书的网站就会收到下面的红牌警告： ?...最后 关于SSL证书的科普就到这，我们大概知道HTTPS中用到的证书是咋回事了，也知道对于我们开发者来说最常用到的其实是自签名证书，可自签名证书也不是能随便生成的，下回我再给大家介绍一下如何生成自签名证书
有些同学电脑上请求https请求可能会报ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] SLL 证书校验 当我们访问一个https...：ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] 只需加一个将 ssl 参数设置为来忽略认证检查 ssl=False...如果你本地有ssl证书，证书地址为/path/to/ca-bundle.crt， 可以传本地证书 sslcontext = ssl.create_default_context( cafile=...'/path/to/ca-bundle.crt') r = await session.get('https://example.com', ssl=sslcontext) 如果您需要验证自签名ssl.SSLContext.load_cert_chain...()证书，您可以执行与上一个示例相同的操作，但使用密钥对添加另一个调用 ： sslcontext = ssl.create_default_context( cafile='/path/to/ca-bundle.crt
上述签发和验证流程见下图（参考自网络）： 如果 CA 证书不在浏览器和操作系统的可信任区，这种 CA 证书通常被称为自签名 CA 证书（MySQL 自动生成的就是自签名证书，详见下文）。...要完成数字证书的验证，则必须事先将自签名 CA 证书放到客户端，并在客户端发起连接时指定这个 CA 证书文件；或者事先将自签名 CA 证书导入到客户端的操作系统可信任区，这样在 TLS 握手过程中也能自动获取到这个...，则必须要将 CA 证书拷贝到客户端，并指定 CA 证书文件 ##TLS 握手过程中，MySQL Server 发送服务器数字证书 server-cert.pem 给客户端，客户端使用 CA 证书中的...MySQL SSL 连接中的 TLS 握手过程 上述示例已有详细说明，这里再简要总结一下： 客户端发起 ssl 连接请求； MySQL Server 发送数字证书 server-cert.pem 给客户端...（server-cert.pem包含：服务器公钥、CA签名信息）； 客户端使用CA 证书 ca.pem（由于这是 MySQL 自签名的CA证书，无法从操作系统的可信任区获取（压根不在这里边），所以事先必须在客户端本地保存
即想要通过 Python 在线获取某个转录本对应的基因 symbol 时，发现出现 SSL 无法获取本地证书：unable to get local issuer certificate (_ssl.c...打开一个 https 链接时，会验证一次 SSL 证书。...而当目标网站使用的是自签名的证书时就会抛出如下异常： ssl.SSLCertVerificationError: [SSL: CERTIFICATE_VERIFY_FAILED] certificate..._create_unverified_context 方法二，指定位置安装证书 查看证书默认位置。...由于在 openssl_cafile 中指定的 ca 文件（cert.pem）不存在，所以导致上面的错误。
需要进一步的操作以完成请求。 4XX - 客户端错误。请求包含语法错误或无法完成请求。 5XX - 服务器错误。服务器在处理请求的过程中发生了错误。...实际情况中，服务器会拿自己的公钥以及服务器的一些信息传给CA，然后CA会返回给服务器一个数字证书，这个证书里面包括： 服务器的公钥 签名算法 服务器的信息，包括主机名等。...CA自己的私钥对这个证书的签名 然后服务器将这个证书在连接阶段传给客户端，客户端怎么验证呢？...可以看到一般完整的SSL/TLS证书有三层结构： 第一层：根证书。也就是客户端自带的那些，根证书都是自签名，即用自己的公钥和私钥完成了签名的制作和验证。 第二层：中级证书。...验证证书的过程中有一步是验证证书的合法性，我们可以让服务器先通过OCSP查询证书是否合法，然后把这个结果和证书一起发送给客户端，客户端就不需要单独验证证书的合法性了，从而提高了TLS握手效率。
但是一些公司又不想花一笔钱去CA申请证书，所以就采用自签名的证书。...但是如果是你们公司自签名(即自己用keytool生成的证书，而不是采用通过CA认证的证书)的服务器，OkHttp是无法访问的，例如访问12306网站（https://kyfw.12306.cn/otn/...HTTPS的工作原理 HTTPS在传输数据之前需要客户端（浏览器）与服务端（网站）之间进行一次握手，在握手过程中将确立双方加密传输数据的密码信息。...接下来的传输过程将由之前浏览器生成的随机密码并利用对称加密算法进行加密。 握手过程中如果有任何错误，都会使加密连接断开，从而阻止了隐私信息的传输。...使用OKHTTP请求自签名的https服务器数据 以下我们使用12306网站为例 1. 首先去12306网站首页下载证书 http://www.12306.cn/ ? 2.
笔者在使用Python的urllib模块的过程中遇到一个使之崩溃的异常，在尝试捕捉相关代码代码打印出了一下消息： 原因： 在查阅相关资料后发现是该urllib模块的特性导致 「Python 升级到 2.7.9 之后引入了一个新特性...，当使用urllib.urlopen打开一个 https 链接时，会验证一次 SSL 证书。...而当目标网站使用的是自签名的证书时就会抛出一个 urllib2.URLError: import ssl ssl._create_default_https_context = ssl.
握手过程中，证书签名使用的RSA算法，如果证书验证正确，再使用ECDHE算法进行密钥交换，握手后的通信使用的是AES256的对称算法分组模式是GCM。验证证书签名合法性使用SHA256作哈希算法检验。...那聪明的你肯定也想到了，如果你开发了一个系统还在测试阶段，还没有正式申请一张证书，那么你可以为服务器自签名一张证书，然后将证书导入客户端的CA信任列表中。 信任链机制 ?...因为我们的浏览器信任GlobalSign Root CA，根据信任链机制，你相信了根CA颁发的证书，也要相信它签名的子CA颁发的证书，也要相信子CA签名的子子CA的证书…而我们通过一级级的校验，如果从根证书到最下层的证书都没有被篡改过...所以在这个机制中，你就需要无条件的相信根证书的颁发机构。 如果通过验证，客户端生成一个随机数pre-master，用于密钥交换过程。...4.密钥交换过程：客户端用第三步中服务器的证书中拿到服务器的公钥，用这个公钥加密（算法是加密套件中的密钥交换算法，譬如ECDHE算法）生成密文发送给服务器。
生成服务器/客户端私钥—》生成证书请求—》通过CA签名得到服务器/客户端证书 另外一种就是自签的服务器证书: 生成服务器私钥server.key–>>生成证书请求server.csr–>>用服务器私钥给自己签得到服务器证书...CA的数字签名，检查客户的证书是否在证书废止列表(CRL)中。...⑥服务器和客户端用相同的主密码即”通话密码”，一个对称密钥用于SSL协议的安全数据通讯的加解密通讯。同时在SSL通讯过程中还要完成数据通讯的完整性，防止数据通讯中的任何变化。...⑦客户端向服务器端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知服务器客户端的握手过程结束。...⑧服务器向客户端发出信息，指明后面的数据通讯将使用的步骤⑦中的主密码为对称密钥，同时通知客户端服务器端的握手过程结束。
从同一台客户端： 访问API server 1可以 但访问API server 2不行 发现失败原因就是TLS握手失败： 在客户端的应用日志里的错误： javax.net.ssl.SSLHandshakeException...但由于old_cert已过期，结果客户端抛certificate has expired 5.2 TLS证书签名 TLS证书都有签名部分，这签名就是用签发者的私钥加密的。...客户端为啥相信叶子证书真的是这CA签发的？因为客户端的Trust store里就有这CA的公钥（在CA证书里），它用这公钥去尝试解开签名，能成功，就说明这张叶子证书确是这CA签发。...PKI里有交叉签名的技术，就是新老根证书对同一个新的中间证书进行签名，但并不适用于这个案例。...其中前两步是服务器和客户端交换信息的第一次和第二次握手，后面的步骤是第三次握手。 假设服务端返回的证书链是根证书+中间证书+叶子证书，客户端没有这个根证书，但是有这个中间证书。
通过上面的解释我们知道，客户端和服务端的在SSL握手中的非对称加密方法是是公钥加密，私钥解密，数字签名的摘要作为防篡改校验。而数字证书的用法则是把这个过程反过来，变为私钥加密、公钥解密。...无论如何认证，CA 认证最终总会走 ROOT 根证书，ROOT也可以叫做自签名证书，这个是需要强制相信的， 否则自证明的体系是走不下去的。...这时候客户端收到的证书确实是真的证书，也确实会拿到错误的公钥，但是不要忘了数字证书还有被颁发者的其他信息，比如域名是造不了假的，比对一下就出现问题了。...X.509证书里含有公钥、身份信息（比如网络主机名，组织的名称或个体名称等）和签名信息（可以是证书签发机构CA的签名，也可以是自签名）HTTPS的主要改进关于HTTPS的改进我们再次简单回顾之前的内容：...以上就是HTTPS TLS1.2 的概念部分，内容很长，感谢耐心观看，如有描述错误或者语句错误的地方欢迎指出。
如果客户端支持的 CipherSuite 列表与服务端配置的 CipherSuite 列表没有交集，会导致无法完成协商，握手失败。...有了 SNI，服务端可以通过 Client Hello 中的 SNI 扩展拿到用户要访问网站的 Server Name，进而发送与之匹配的证书，顺利完成 SSL 握手。...如果要避免在这些浏览器中出现证书错误，只能将使用不同证书的 HTTPS 站点部署在不同 IP 上，最简单的做法是分开部署到不同机器上。...实际上，微软已经宣称自 2017 年 1 月 1 日起，将全面停止对 SHA-1 证书的支持。届时在最新版本的 Windows 系统中，SHA-1 证书将不被信任。...理论上服务端可以根据客户端 Client Hello 中的 Cipher Suites 特征以及是否支持 SNI 的特征来分配不同证书，不过我没有实际验证过。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
