Код ошибки sec error ocsp invalid signing cert

При переходе на какой-либо сайт (обычно с помощью браузера Firefox) пользователь может столкнуться с ошибкой открытия данного сайта, и соответствующим сообщением «Неверный сертификат подписи OCSP в OCSP-ответе. (Код ошибки: sec_error_ocsp_invalid_signing_cert)». Обычно это обозначает ситуацию, когда браузер по определённым причинам посчитал, что сертификат данного сайта отозван, потому, по соображениям безопасности, заблокировал доступ на данный ресурс. В данном материале я расскажу, что за ошибка, каковы её причины, и как исправить данную ошибку на ваших ПК.

Что значит данная ошибка?

В переводе с английского языка текст данной ошибки звучит как «Ошибка безопасности. Неверно подписанный OCSP сертификат». Аналогичными ошибками с сертификатом SSL являются ssl_error_rx_record_too_long и ERR_SSL_VERSION_OR_CIPHER_MISMATCH.

Напомню читателю, что аббревиатура OCSP является сокращением от «Online Certificate Status Protocol» (в переводе – «Протокол статуса онлайн-сертификата»). Данный протокол предназначен для проверки статуса сертификата на предмет его отозванности, когда выданный ранее сертификат для какого-либо сайта, удостоверяющий безопасность работы с данным сайтом, может быть отозван у указанного сайта по каким-либо причинам (например, Центр сертификации посчитал работу с таким сайтом не безопасной).

Таким образом, браузер, переходя на данный сайт с «отозванным» сертификатом, может выдать вам ошибку и сообщение «sec_error_ocsp_invalid_signing_cert».

Какие ещё могут быть причины появления подобного сообщения об ошибке? Я бы отметил следующее:

• Случайный сбой в работе компьютера;
• Некорректные системные дата и время;
• Временные неполадки на нужном сетевом ресурсе.

Как избавиться от проблемы

Прежде всего, рекомендую убедиться, что дата и время на вашем компьютере установлены правильно. Если нет, тогда наведите курсор мыши на демонстрируемые дату и время внизу экрана справа, кликните правой клавишей мыши, выберите «Настройка даты и времени» — «Изменить дату и время», и установите их корректные значения.

Если же дата и время отображаются на ПК корректно, то возникновение ошибки может иметь временную природу, не зависящую от обычного пользователя (проблемы на конкретном сетевом ресурсе). Обычно данная ошибка довольно быстро устраняется самой администрацией сайта, и при последующем переходе на такой сайт пользователь не встретит никаких проблем.

Если же вы не имеете желания ждать, тогда отключите уведомления OCSP, для чего в браузере Mozilla введите в адресной строке:

about:config — и нажмите на «Enter». При необходимости кликните на «Я принимаю на себя риск», найдите в списке настроек «security.ssl.enable_ocsp_stapling», и, дважды кликнув на данную строку, установите значение данного показателя в «false». После этого указанная ошибка не будет отображаться, и вы сможете выполнить вход на ранее недоступный ресурс.

Как я уже писал выше, подобная ситуация с сертификатом довольно быстро бывает решена администрацией сайта, потому через какое-то время вернитесь в указанные настройки браузера, и вновь установите данный показатель на «true».

Заключение

Обычно причиной ошибки sec_error_ocsp_invalid_signing_cert является неверное установленные дата и время на компьютере, а также временные проблемы конкретного сетевого ресурса с выданным ему сертификатом безопасности. Для устранения рассматриваемой мной дисфункции проверьте корректность системных даты и времени, а также временно отключите указанный мной параметр в настройках браузера, это позволит избежать появления сообщения _error_ocsp_invalid_signing_cert на вашем ПК.

Ошибки соединения, с которыми приходится сталкиваться при посещении сайтов, могут носить как общий, так и эксклюзивный характер. Под словом «эксклюзивный» мы в данном случае имеем ввиду ошибку, появляющуюся только в конкретном браузере, как, например, «Ошибка при установлении защищённого соединения» с кодом SEC_ERROR_OCSP_INVALID_SIGNING_CERT в Mozilla Firefox. Судя по описанию, причиной появления ошибки является некая OCSP, каким-то образом связанная с используемым сайтом сертификатом безопасности.

И действительно, данная ошибка соединения чаще всего бывает вызвана сертификатом, срок действия которого истек. Увы, от пользователя здесь мало что зависит, устранением причин неполадки должен заниматься администратор сайта, тем не менее, кое-какие моменты пользователю всё же стоит проверить. Устранение другой, менее распространенной причины ошибки соединения, напротив, целиком зависит от пользователя.

Откройте командой timedate.cpl настройки даты и времени и убедитесь, что последние соответствуют вашему часовому поясу. Если у вас отключена автоматическая синхронизация даты и времени, обязательно включите, было замечено, что даже незначительное отставание часов в Firefox приводило к описанной выше ошибки.

После установки правильной даты и времени следует перезагрузить компьютер.

Вызвать ошибку установки защищенного соединения с указанным кодом может также сбой в работе механизма OCSP, отвечающего за проверку достоверности SSL-сертификата.

Хотя этого делать не рекомендуется, но если вы не видите иного выхода, попробуйте его отключить.

Перейдите по внутреннему адресу about:config на страницу флагов.

С помощью встроенного поиска найдите настройку security.ssl.enable_ocsp_stapling и дважды кликните по ней, поменяв таким образом ее значение с true на false.

Перезапустите браузер.

Что можно и нужно проверить еще? Появление ошибки с кодом SEC_ERROR_OCSP_INVALID_SIGNING_CERT отмечалось при работе расширений, блокирующих рекламу. Отключите все расширения и плагины, так или иначе связанные с блокировкой любого типа контента и проверьте результат. Если ошибка исчезла, определите проблемный компонент методом исключения и удалите либо замените его.

It seems their OCSP-cert has expired on September 10th.

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 132 (0x84)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=NL, O=Digidentity B.V., CN=Digidentity Services CA - G2
        Validity
            Not Before: Sep 20 10:40:55 2012 GMT
            Not After : Sep 10 10:40:55 2014 GMT
        Subject: C=NL, O=Digidentity B.V., CN=Digidentity OCSP

Code
I used these three commands:

$ openssl s_client -connect www.acm.nl:443 2>&1 < /dev/null | sed -n '/-----BEGIN/,/-----END/p' > acm.pem

$ openssl s_client -connect www.acm.nl:443 -showcerts </dev/null 2>/dev/null > chain.pembundle

$ openssl ocsp -issuer chain.pembundle -cert acm.pem -url $(openssl x509 -noout -ocsp_uri -in acm.pem)
Response Verify Failure
2676036:error:27069065:OCSP routines:OCSP_basic_verify:certificate verify error:ocsp_vfy.c:126:Verify error:certificate has expired
acm.pem: ERROR: No Status found.

More Detail
Use this instead of third command for more detail:

$ openssl ocsp -issuer chain.pembundle -cert acm.pem -text -url $(openssl x509 -noout -ocsp_uri -in acm.pem)

Link
I copied the commands from here: https://raymii.org/s/articles/OpenSSL_Manually_Verify_a_certificate_against_an_OCSP.html