Расположение ocsp 1 ошибка

Пользователи браузера Mozilla Firefox могут столкнуться с проблемой под кодом «sec_error_ocsp_future_response». При появлении этой ошибки пользователь не может получить доступ к некоторым сайтам, особенно к сайтам на HTTPS. В этой статье будут представлены различные способы решения этой проблемы.

Что это за ошибка

Ошибка «sec_error_ocsp_future_response» является довольно распространённой среди пользователей, особенно разработчиков, которые тестируют свои сайты. Она появляется, когда пользователь пытается зайти на сайт, в котором содержатся многочисленные CSS-элементы. Браузер по разным причинам конфликтует с «начинкой» сайта, на который пользователь пытается зайти, и поэтому выдаёт ошибку.

Способы решения ошибки

Добавление сайта в список исключений

Внутренняя защита, которая автоматически включена в браузере Firefox, может препятствовать вхождению пользователя на нужный ему сайт. Чтобы отключить эту защиту, вам нужно нажать на иконку щита рядом с адресной строкой сайта и отключить переключатель, который находится рядом с надписью «Улучшенная защита от отслеживания». После отключения этой функции сайт добавится в ваш список исключений, и, возможно, это поможет вам с решением данной проблемы.

Удаление повреждённого файла cert8.db

Иногда, по неизвестным причинам, файл cert8.db, который отвечает за некоторые данные в вашем браузере, может повредиться и помешать корректной работе браузера. Для того, чтобы удалить этот файл, вам нужно:

Отключение или удаление вашего антивируса

Некоторые антивирусы нередко конфликтуют с системой и определёнными программами, мешая их работе в целях безопасности пользователя, даже если эти приложения не представляют никакой опасности. Для того чтобы решить проблему с помощью этого способа, вам нужно временно отключить ваш антивирус и попробовать заново запустить сайт.

Если ошибка исчезнет и сайт откроется корректно, вам может понадобиться удалить ваш нынешний антивирус и заменить его на один из многочисленных антивирусов, которые не настолько сильно конфликтуют с системой.

Отключение проверки SSL

SSL-проверка сайтов работает на сайтах HTTPS для того, чтобы проверить сертификат сайта и в случае появления каких-либо проблем предупредить пользователя и предотвратить его пользование данным сайтом. Также это мешает разработчикам сайтов корректно тестировать свои сайты с протоколом HTTPS или обычным пользователям — пользоваться определёнными сайтами.

Для того чтобы отключить эту проверку, вам понадобится открыть свойства браузера Mozilla Firefox, нажав на его ярлык правой кнопкой мыши.

В открывшемся окне вам нужно нажать на вкладку «Ярлык» и в строчке «Объект:» приписать фразу —ignore-certificate-errors, а после этого нажать кнопку «Применить» и закрыть окно.

Надеемся, что наша статья проинформировала вас о способах решения вашей проблемы. Если какой-то из этих способов помог вам, просим написать в комментариях, какой именно и как сложно вам было это сделать.

Введение

Сегодня хочу поговорить про OCSP – Online Certificate Status Protocol, который служит для проверки статуса сертификата на предмет отозванности. Как известно, стандартным механизмом проверки статуса сертификата является публикация CRL (Certificate Revocation List). В жизни существует 2 вида CRL:

• Base CRL – полный список CRL, в котором указываются серийные номера всех отозванных в CA сертификатов и причина отзыва. Поддерживается всеми современными системами Windows. Характеризуется большим объёмом и не очень частой публикацией для уменьшения трафика.
• Delta CRL – инкрементальный (хотя по факту это скорее дифференциальный) список CRL, в который включаются только сертификаты, которые были отозваны с момента последней публикации полного Base CRL. Характеризуется небольшим объёмом и относительно частой публикацией. Нативно поддерживается только системами не ниже Windows XP. Windows 2000 нативно не умеет его читать, но это становится возможным после применения патча MS04-011.

Опыт использования технологии CRL в широкой массе показал её негативные стороны. Если говорить о Base CRL, то Windows Server 2003/2008 по умолчанию публикуют этот список раз в неделю и в него включаются все сертификаты, которые были выданы и отозваны с момента последнего обновления сертификата CA. Т.к. эти сертификаты как правило выдаются на долгий срок (от 5 до 20 лет), то эти списки со временем могут сильно распухнуть. Из-за этого клиенту для проверки сертификата нужно вытягивать весь Base CRL с CA и искать там требуемый сертификат. Кстати, почему HTTPS сайты частенько тормозят 🙂 Учитывая, что Base CRL публикуются не очень часто, то для обеспечение наиболее актуального списка CRL была внедрена система Delta CRL, которая включает в себя только сертификаты, которые были отозваны с момента последней публикации Base CRL. По умолчанию CA под управлением Windows Server 2003/2008 публикуют его раз в сутки.

Но это не отменяет необходимости клиенту как скачивать не только Base CRL, но и приходится дополнительно скачивать Delta CRL. Однако Certificate Services в Windows Server 2008 позволяют нам сделать жизнь чуточку лучше и облегчить процесс валидации сертификата за счёт использования OCSP.

Вкратце, OCSP работает очень просто: клиент для проверки статуса сертификата отправляет запрос на OCSP Responder с указанием серийного номера проверяемого сертификата. OCSP Responder на своей стороне проверяет статус сертификата и возвращает этот статус клиенту.

Примечание: использовать протокол OCSP нативно умеют только клиенты под управлением Windows Vista и выше. Предыдущие ОС могут его поддерживать только за счёт сторонних компонентов.

Настройка шаблона CA

Итак, для начала нам потребуется установленный в сети Certification Authority под управлением Windows Server 2008 (любой редакции, кроме Web). По умолчанию с добавлением роли  AD CS добавляется и служба Online Respnder. Для этого так же потребуется установить службы IIS, о чём мастер вам сообщит и предложит сделать. На сервере CA необходимо запустить оснастку Certificate Templates (Start –> Run… –> certtmpl.msc) и там найти шаблон OCSP Response Signing:

fig.1

Данный шаблон характеризуется следующими свойствами:

• срок действия сертификата составляет 2 недели
• на вкалдке Request Handlings добавлено право чтения приватного ключа для службы Network Service, поскольку служба OCSP работает от лица Network Service, а не LocalSystem (для LocalSystem отдельных разрешений не требуется)
• шаблон не содержит CDP и AIA расширений
• шаблон помечен как неподлежащий для проверки на отзыв (см. fig.1)

На вкладке Security необходимо для учётной записи компьютера, на котором размещён OCSP выдать право Allow Read и Allow Enroll. Это единственное изменение, которое необходимо выполнить для шаблона. Теперь нужно открыть оснастку Certificate Authority и добавить этот шаблон для выдачи:

правой кнопкой на Certificate Templates –> New –> Certificate Template to Issue –> OSCP Response Signing. Далее нужно создать оснастку Certificates для учётной записи компьютера и запросить сертификат на основе этого шаблона с компьютера, где установлен OCSP Responder.

После запроса сертификата не стоит закрывать оснастку Certificates, а выбрать новый сертификат и в All Tasks выбрать Manage Privete keys. В открывшемся окне Permissions выдайте право Read для учётной записи Network Service:

fig.2

Настройка CA

Следующим этапом нужно подготовить сам CA для работы с OCSP. Для этого вызываем свойства самого CA и переходим на вкладку Extensions:

fig.3

В списке Extensions выбираем Authority Information Access (AIA), нажимаем Add и в поле вписываем URL для OCSP. В моём случае это http://dc2.contoso.com/ocsp. А так же выставляем нижнюю галочку, чтобы этот путь добавлялся во все издаваемые этим CA сертификаты.

Примечание от 09.08.2009: здесь у меня опечатка на скриншоте — нужно поставить только одну галочку, а именно — только нижнюю. Адрес OCSP не нужно добавлять в AIA издаваемых сертификатов, иначе клиент будет с OCSP адреса пытаться скачать CRT файл.

Примечание: учитвая, что срок действия такого сертификата всего 2 недели, не следует этот шаблон добавлять в Autoenrollment (если используется) Policies, т.к. тут возможны трудности с валидацией сертификата на отрезке времени когда обновляется сертификат CA. Вот как это может выглядеть:

fig.4

в промежутке t0 – t2 используется старый ключ CA для подписи сертификатов (в том числе и OCSP). В промежутке t1-t3 используется новый сертификат CA. И когда наступает этап t1, когда старый сертификат ещё до истечения срока обновляется на новый, то в промежутке t1-t2 может случиться следующее:

• клиент отправляет запрос на проверку статуса сертификата Cert1 или Cert2, которые подписаны ключом CA Key 1
• на сервере CA уже действует новый ключ CA Key 2 и, соответственно, подписанный новым ключом сертификат OCSP
• сервер подписывает новым ключом OCSP ответ для клиента и пересылает
• клиент сверяет подписи OCSP и проверяемого сертификата. Подписи не совпадут, т.к. сертификат подписан ключом CA Key 1, а OCSP ответ уже ключом CA Key 2 и откланяет ответ от OCSP Responder, поскольку проверяемый сертификат и сертификат подписи Online Responder должны быть подписаны одним ключом CA.

Чтобы устранить проблему на указанном отрезке времени в Windows Server 2008 включено обновление OCSP Signing сертификатов с использованием существующих ключей. По умолчанию оно не включено, поэтому для активации такого обновления в командной строке следует выполнить:

certutil –setreg caUseDefinedCACertInRequest 1

После выполнения этой команды должно получиться нечто похожее на:

C:Usersadministrator>certutil -setreg caUseDefinedCACertInRequest 1
SYSTEMCurrentControlSetServicesCertSvcConfigurationcontoso-DC2-CAUseDefine
dCACertInRequest:

New Value:
  UseDefinedCACertInRequest REG_DWORD = 1
CertUtil: -setreg command completed successfully.
The CertSvc service may need to be restarted for changes to take effect.

Как гласит сообщение, после этой процедуры следует перезапустить службу AD CS:

net stop certsvc
net start certsvc

На сегодня, пожалуй, всё, а в следующий раз продолжим с конфигурированием Online Responder и политики отзыва сертификатов.

Ошибки соединения, с которыми приходится сталкиваться при посещении сайтов, могут носить как общий, так и эксклюзивный характер. Под словом «эксклюзивный» мы в данном случае имеем ввиду ошибку, появляющуюся только в конкретном браузере, как, например, «Ошибка при установлении защищённого соединения» с кодом SEC_ERROR_OCSP_INVALID_SIGNING_CERT в Mozilla Firefox. Судя по описанию, причиной появления ошибки является некая OCSP, каким-то образом связанная с используемым сайтом сертификатом безопасности.

И действительно, данная ошибка соединения чаще всего бывает вызвана сертификатом, срок действия которого истек. Увы, от пользователя здесь мало что зависит, устранением причин неполадки должен заниматься администратор сайта, тем не менее, кое-какие моменты пользователю всё же стоит проверить. Устранение другой, менее распространенной причины ошибки соединения, напротив, целиком зависит от пользователя.

Откройте командой timedate.cpl настройки даты и времени и убедитесь, что последние соответствуют вашему часовому поясу. Если у вас отключена автоматическая синхронизация даты и времени, обязательно включите, было замечено, что даже незначительное отставание часов в Firefox приводило к описанной выше ошибки.

После установки правильной даты и времени следует перезагрузить компьютер.

Вызвать ошибку установки защищенного соединения с указанным кодом может также сбой в работе механизма OCSP, отвечающего за проверку достоверности SSL-сертификата.

Хотя этого делать не рекомендуется, но если вы не видите иного выхода, попробуйте его отключить.

Перейдите по внутреннему адресу about:config на страницу флагов.

С помощью встроенного поиска найдите настройку security.ssl.enable_ocsp_stapling и дважды кликните по ней, поменяв таким образом ее значение с true на false.

Перезапустите браузер.

Что можно и нужно проверить еще? Появление ошибки с кодом SEC_ERROR_OCSP_INVALID_SIGNING_CERT отмечалось при работе расширений, блокирующих рекламу. Отключите все расширения и плагины, так или иначе связанные с блокировкой любого типа контента и проверьте результат. Если ошибка исчезла, определите проблемный компонент методом исключения и удалите либо замените его.