Chrome中的SSL证书无效

你现在看到的并不是你所期待的EV证书的“绿色地址栏”，而是以下内容：

原因是Google在线安全博客上发布了以下声明：

据了解，SHA-1密码哈希algorithm比起9年前至less2005年以来的devise要弱得多。 针对SHA-1的碰撞攻击是非常实惠的，因此我们认为它对于公共Web PKI是安全的。 我们只能期望攻击会变得更便宜。

这就是为什么Chrome将于11月份开始使用Chrome 39开始对SHA-1进行日落处理（如HTTPS的证书签名所用）。 …terminal实体证书在2016年6月1日至2016年12月31日（含）之间到期，包括基于SHA-1的签名作为证书链一部分的网站将被视为“安全，错误”。

挂锁中的警告标志表示“安全但有小错误”，并且扩展消息中的过期安全设置是证书依赖于SHA-1散列algorithm的事实。

你需要做的是以下几点：

使用SHA-256哈希和新的证书签名请求（CSR）生成一个新的私钥，让您的SSL提供商重新发放新证书。 对于EV证书，重新发行通常需要或多或less的相同的环节来获得初始证书，但是您应该获得新的证书，直到当前证书的有效期限为止，不收取额外的费用。

在openssl中，你可以使用类似下面的命令行：

openssl req -nodes -sha256 -newkey rsa:2048 -keyout www.scirra.com.sha256.key -out www.scirra.com.sha256.csr 

这是因为Google对SHA-1的日落计划 。

• 没有即时的安全问题。
• SHA-2是目前推荐的用于SSL的哈希algorithm。 已经报告没有使用SHA-1证书的违规行为。
• 在Chrome 39及更高版本上显示降级的UI指标是Google的SHA-1弃用计划的一部分，适用于所有的证书颁发机构（CA）。
• 只有Chrome 39和更高版本的用户才能看到降级的用户界面，而不是早期版本。 在系统pipe理员find您的现有私钥（在您的Web服务器上）后，请联系您的SSL供应商，他们将免费使用SHA-2执行证书重发。 你需要一个新的CSR。

如果安装了OpenSSL，以下将在OSX / Linux上创build一个新的CSR（请参考您现有的SSL证书字段，因为域名（又名“Common Name”）需要保持不变：

Linux的/ OSX：

 openssl req -new -sha256 -key myexistingprivate.key -out newcsr.csr 

对于Windows，请参阅此TechNet文章 。

此时您可能需要联系您的供应商寻求帮助，如果您没有通过他们的SSL门户看到重发选项。 Comodo的网站看起来很详细，如果这些信息不够，

一旦安装了SHA-2证书，这将消除您在Chrome中看到的“问题”。

您需要使用SHA2证书才能使其消失。 有关更多信息，请参阅逐渐落后的SHA-1