Knowledge base

Für interne Webservices macht es Sinn eine interne Zertifizierungsstelle einzurichten. Mit dem neusten Google Chrome Update, Chrome 58, wird man gezwungen den Subject Alternative Name im Zertifikat zu hinterlegen wie der aufgerufene Hostname, sonst erhält man die Fehlermeldung das die Verbindung nicht sicher sei, "Your connection is not private", missing_subjectAltname. Damit vollzieht Chrome die gleiche handhabung wie der Firefox 48 das der Subject Feld ingnoriert wird (z.b. CN=intranet.domain.local). Um den Fehler zu beheben muss man bei der Zertifizierungsstelle die SAN Extension aktivieren.

SAN Zertifikat aktivieren

Mit folgendem Shellbefehl aktiviert man die Extension. Dabei muss man den Dienst neu starten:

certutil -setreg policy\EditFlags +EDITF_ATTRIBUTESUBJECTALTNAME2
net stop certsvc
net start certsvc

san:dns=intranet&dns=print&dns=file&dns=intranet.domain.local&dns=file.domain.local&dns=*.domain.local

Openssl: PFX konvertieren

Mit Openssl kann man das Pfx Zertifikat für den Apache2 aufbereiten:

pkcs12 -in C:\zert\san.pfx -nocerts -out C:\zert\san.pem -nodes
pkcs12 -in C:\zert\san.pfx -nokeys -out C:\zert\san.crt
rsa -outform der -in C:\zert\san.pem -out C:\zert\san.key