对于具有名称约束的证书，OpenSSL验证意外失败，并显示“允许的子树冲突”

是由于证书中存在子树冲突导致的。子树冲突是指证书的名称约束与其子证书的名称约束发生冲突，即子证书的名称约束超出了父证书的名称约束范围。

名称约束（Name Constraints）是一种用于限制证书中可包含的主体名称的扩展属性。它用于确保证书只能用于特定的子树（例如域名）下。

当OpenSSL进行证书验证时，它会检查证书中的名称约束，并与证书链中的其他证书进行比较。如果存在子树冲突，即子证书的名称约束超出了父证书的名称约束范围，验证过程将意外失败，并显示“允许的子树冲突”。

解决这个问题的方法是检查证书链中的每个证书，确保每个证书的名称约束与其父证书的名称约束相匹配。如果存在冲突，需要相应地调整名称约束以解决冲突。

腾讯云提供了SSL证书服务，该服务支持具有名称约束的证书，并提供了一站式的证书申请、管理和部署解决方案。通过腾讯云SSL证书服务，用户可以方便地申请并管理符合名称约束的证书，保证证书的有效性和安全性。

相关·内容

MySQL8 中文参考（二十六）

--ssl-key：客户端私钥文件的路径名。为了相对于默认加密提供额外的安全性，客户端可以提供与服务器使用的 CA 证书匹配的证书，并启用主机名身份验证。...这些自签名证书不包含服务器名称作为通用名称值。在 MySQL 8.0.12 之前，主机名身份验证也无法与使用通配符指定通用名称的证书一起使用，因为该名称与服务器名称逐字比较。...如果 SSL 证书仅用于服务器身份验证（serverAuth）和其他非客户端证书目的，证书验证将失败，客户端连接到 MySQL 服务器实例将失败。...在双��都允许的密码中，SSL 库选择由提供的具有最高优先级的证书支持的密码。...如果 SSL 证书仅指定用于服务器认证（serverAuth）和其他非客户端证书目的，证书验证将失败，客户端连接到 MySQL 服务器实例将失败。

3601 0

数据库PostrageSQL-用 SSL 进行安全的 TCPIP 连接

相反，客户端必须具有服务器证书链的根证书。 18.9.2. OpenSSL配置 PostgreSQL读取系统范围的OpenSSL配置文件。...默认情况下，该文件被命名为openssl.cnf并位于openssl version -d报告的目录中。通过将环境变量设置OPENSSL_CONF为所需配置文件的名称，可以覆盖此默认值。...OpenSSL支持各种强度不同的密码和身份验证算法。...然后将在 SSL 连接启动时从客户端请求该证书（一段对于如何在客户端设置证书的描述请见Section 34.18）。服务器将验证客户端的证书是由受信任的证书颁发机构之一签名。...SSL 服务器文件用法 Table 18.2总结了与服务器上 SSL 配置有关的文件（显示的文件名是默认的名称。本地配置的名称可能会不同）。 Table 18.2.

1.3K1 0

【Nginx30】Nginx学习：代理模块（四）响应头与SSL

Proxy响应头操作响应头主要针对的是响应的操作，其实也就是对于后端服务返回的响应头，我们可以进行一些显示、隐藏、忽略之类的操作。...proxy_ssl_certificate_key file; 可以指定值 engine:name:id 代替文件 (1.7.9)，该文件从 OpenSSL 引擎名称加载具有指定 id 的密钥。...当且仅当当前级别上没有定义 proxy_ssl_conf_command 指令时，这些指令才从先前的配置级别继承。请注意，直接配置 OpenSSL 可能会导致意外行为。...proxy_ssl_name 允许覆盖用于验证代理 HTTPS 服务器证书并在与代理 HTTPS 服务器建立连接时通过 SNI 传递的服务器名称。...proxy_ssl_trusted_certificate 指定具有 PEM 格式的受信任 CA 证书的文件，用于验证代理 HTTPS 服务器的证书。

1K1 1

MySQL8.0.30 release note 中文翻译（详细版）

在这个版本中，我们使用 utf8mb3_ 前缀重命名了utf8_ 排序规则；这是为了使排序规则名称与字符集的名称保持一致，不再依赖已弃用的排序规则名称，并澄清 utf8mb3 和 utf8mb4 之间的区别...对于任何这种规模的拓扑结构（包括单台服务器，只要启用二进制日志），现在可以在任何服务器意外停止并在退出拓扑结构后被重新加入后，将其恢复到一致的状态。...对于捆绑了OpenSSL库的平台，用于MySQL服务器的链接OpenSSL库已经更新到了1.1.1o版本。...对于捆绑了OpenSSL库的平台，用于MySQL服务器的链接OpenSSL库已经更新到了1.1.1o版本。...(Bug #106621, Bug #33917625) InnoDB：清除一个具有多个二进制大对象值的记录时，由于迷你交易（mtr）的冲突，引起了插入失败。

2K1 0

【Nginx37】Nginx学习：SSL模块（一）简单配置与指令介绍

从 1.11.0 版本开始，可以多次指定该指令以加载不同类型的证书，例如 RSA 和 ECDSA。只有 OpenSSL 1.0.2 或更高版本支持不同证书的单独证书链。对于旧版本，只能使用一个证书链。...ssl_certificate_key file; 可以指定值 engine:name:id 代替文件 (1.7.9)，该文件从 OpenSSL 引擎名称加载具有指定 id 的密钥。...请注意，直接配置 OpenSSL 可能会导致意外行为。 ssl_crl 指定用于验证客户端证书的 PEM 格式的已撤销证书 (CRL) 文件。...ssl_ocsp_cache 为 OCSP 验证设置存储客户端证书状态的缓存的名称和大小。...可选 optional 参数 (0.8.7+) 请求客户端证书并验证证书是否存在。 optional_no_ca 参数（1.3.8、1.2.5）请求客户端证书，但不要求它由受信任的 CA 证书签名。

1.1K2 0

如何在Ubuntu 18.04上为MySQL配置SSLTLS

并表示生成的文件具有正确的用户和组所有权。这些文件是证书颁发机构（以“ca”开头），MySQL服务器进程（以“server”开头）和MySQL客户端（以“client”开头）的密钥和证书对。...在MySQL客户端上，在新目录中创建一个具有相同名称的文件： nano ~/client-ssl/ca.pem 在里面，粘贴剪贴板中复制的证书内容。完成后保存并关闭文件。...在目录中的MySQL客户端上打开一个具有相同名称的client-ssl文件： nano ~/client-ssl/client-cert.pem 粘贴剪贴板中的内容。保存并关闭文件。...在MySQL客户端上，打开目录中具有相同名称的client-ssl文件： nano ~/client-ssl/client-key.pem 粘贴剪贴板中的内容。保存并关闭文件。...这允许客户端相信它正在连接到受信任的MySQL服务器。 ssl-cert和ssl-key选项指向向MySQL服务器证明它也具有由相同证书颁发机构签名的证书所需的文件。

1.8K2 0

国庆节前端技术栈充实计划（1）：使用Nginx配置HTTPS 服务器

，nginx将会启动失败并显示如下错误信息： SSL_CTX_use_PrivateKey_file(" ......0B080074:x509 certificate routines: X509_check_private_key:key values mismatch) 因为nginx尝试去使用私钥与捆绑后证书的第一个证书验证而不是它本该去验证的服务器证书...http区块中放置具有多个名称的证书文件及其私钥文件，以在所有其下的虚拟主机服务器中继承其单个内存副本： ssl_certificate common.crt; ssl_certificate_key...单个IP地址上运行多个HTTPS虚拟服务器的更通用的解决方案是 TLS服务器名称指示扩展(SNI，RFC 6066)，其允许浏览器在SSL握手期间同时发送请求的服务器名称，因此，服务器就知道它应该给这个连接使用哪个证书...但是，如果启用SNI的nginx与没有SNI支持的OpenSSL库动态链接，nginx将显示警告： nginx was built with SNI support, however, now it is

9823 0

MySQL8 中文参考（八）

5.6.6 使用外键原文：dev.mysql.com/doc/refman/8.0/en/example-foreign-keys.html MySQL 支持外键，允许跨表引用相关数据，并支持外键约束...外键关系涉及一个持有初始列值的父表，以及一个引用父列值的子表。外键约束定义在子表上。以下示例通过单列外键关联parent和child表，并展示了外键约束如何强制执行引用完整性。...如果无法建立加密连接，则连接尝试失败。 VERIFY_CA: 类似于 REQUIRED，但还会根据配置的 CA 证书验证服务器证书颁发机构（CA）证书。...如果客户端使用 OpenSSL 1.0.2 或更高版本，则客户端会检查用于连接的主机名是否与服务器证书中的主题备用名称值或通用名称值匹配。...主机名身份验证也适用于使用通配符指定通用名称的证书。否则，客户端会检查用于连接的主机名是否与服务器证书中的通用名称值匹配。如果存在不匹配，连接将失败。

1521 0

内网协议NTLM之内网大杀器CVE-2019-1040漏洞

该种绕过方式允许攻击者将已经协商签名的身份验证尝试中继到另外一台服务器，同时完全删除签名要求。所有不执行签名的服务器都容易受到攻击。...3.使用中继的LDAP身份验证，将受害者服务器的基于资源的约束委派权限授予攻击者控制下的计算机帐户。 4.攻击者现在可以作为AD服务器上的任意用户进行身份验证。包括域管理员。...这个需要域控制器添加到ldaps的证书才能连接ldaps。首先使用OpenSSL，创建新的私钥和根证书。...接着就为域控制器办法证书了，在域控制器中创建一个request.inf的文件，里面的CN=填写DC的完整名称，文件的内容如下： [Version] Signature="$Windows NT$"...，请注意：从Active Directory服务器本身运行该证书以确保正确的私钥->证书关联 C:\> certreq -new request.inf client.csr 接着回到具有openssl

6.5K3 1

如何在Ubuntu上为MySQL配置SSLTLS

3.9K0 0

安恒信息预警：OpenSSL再度爆发高危漏洞

该漏洞的成因是OpenSSL在证书验证过程中，第一次连接失败时会尝试寻找一个替代证书，而攻击者可以利用这一点，通过一个中级证书去冒充证书颁发机构来绕过OpenSSL的证书验证。...整个问题导致了可以实现中间人攻击，并且可能导致应用程序（如浏览器）把不受信任或者无效的证书标记显示为信任有效，危害十分严重。...然后入侵者把这台计算机模拟一台或两台原始计算机，使“中间人”能够与原始计算机建立活动连接并允许其读取或篡改传递的信息，然而两个原始计算机用户却认为他们是在互相通信，因而这种攻击方式并不很容易被发现。...所以中间人攻击很早就成为了黑客常用的一种古老的攻击手段，并且一直到今天还具有极大的扩展空间。　　...通过本次抽样过程发现，使用OpenSSL的主机共计38505台，其中受该高危漏洞影响的主机共12498台，占OpenSSL使用总数的32.5%，其中受影响最大的地区为广东、北京、中国香港、浙江和中国台湾

7764 0

配置SSL证书后，Nginx的HTTPS 不能正常工作的原因有哪些

申请ssl证书，配置nginx支持https与证书，可是访问https的nginx总是出现错误，也导致小程序发https请求失败，这是什么原因呢？...图片如果在配置SSL证书后，Nginx的HTTPS无法正常工作，可能有以下几个常见原因：1.错误的证书路径或文件权限：确保在Nginx配置文件中指定了正确的证书文件路径，并且Nginx对该文件具有读取权限...证书格式问题：确保证书文件的格式正确。通常，SSL证书是以PEM或DER格式编码的。如果证书格式不正确，可以使用openssl命令将其转换为正确的格式。图片3....缺少中间证书链：如果证书链不完整，即缺少中间证书链，浏览器可能无法验证证书的有效性。...可以查看Nginx的错误日志文件以获取更多详细的错误信息。排除以上可能的问题，并进行适当的配置修复后，可以重新启动Nginx服务，并检查HTTPS是否能够正常工作。

4.2K4 0

【黄啊码】git安装教程以及Tortoisegit如何配合实用

让Git使用哪个SSL/TLs库来进行HTTPS连接，第一个选项，使用OpenSSL库，服务器cer证书将使用ca包中.crtw文件进行验证通过，默认选这个。...第二个选项，使用本机Windows安全通道库，服务器证书将在Windows证书存储中进行验证。...这个选项还允许您通过Active Directory域服务使用您的公司内部根CA证书，选择完成后点击Next 8、配置结束行转换方式，Git应该如何处理文本文件中的行结尾，第一个选项，下拉是转换Windows...is，但有一个非常有限的默认滚动回滚，需要配置为使用Unicode字体，以便正确显示非ascil字符，在Windows 10之前，它的窗口不能自由调整大小，它只允许矩形文本选择 10、选择git下拉默认行为...第三个选项，仅仅快进，快进到获取的分支。如果不可能，就失败。

1K3 0

OpenSSL最新高危漏洞（CVE-2015-1793）补丁发布

该漏洞的漏洞编号为CVE-2015-1793，是证书验证的逻辑过程中没能正确验证新的且不受信任证书造成的。攻击者可以绕过证书警告，强制应用程序将无效证书当作合法证书使用。...OpenSSL官方对于这一漏洞的描述为： OpenSSL(1.0.1n和1.0.2b以上版本)在证书链验证过程中，如果首次证书链校验失败，则会尝试使用一个其他的证书链来重新尝试进行校验;其实是在证书验证中存在一个逻辑错误...，导致对于非可信证书的一些检查被绕过，这直接的后果导致比如使没有CA 签发能力的证书被误判为具有CA签发能力，其进行签发的证书可以通过证书链校验等。...的用户请升级到 1.0.2p OpenSSL系列高危漏洞心脏滴血漏洞：该漏洞去年4月份被发现，它存在于OpenSSL早期版本中，允许黑客读取受害者加密数据的敏感内容，包括信用卡详细信息，甚至能够窃取网络服务器或客户端软件的加密...，该漏洞允许攻击者解密加密连接的内容。

1.2K8 0

Docker开启远程安全访问

，有了CA之后，就可以创建服务器密钥和证书签名请求(CSR)了，确保“通用名称”与你连接Docker时使用的主机名相匹配。...3、生成server-key.pem openssl genrsa -out server-key.pem 4096 4、用CA签署公钥由于可以通过IP地址和DNS名称建立TLS连接，因此在创建证书时需要指定...= DNS:www.sscai.club,IP:221.217.177.151,IP:127.0.0.1 >> extfile.cnf 5.2、配置0.0.0.0，允许所有的ip可以链接（但只允许永久证书的才可以连接成功...要使它们仅供您阅读，请按以下方式更改文件模式： chmod -v 0400 ca-key.pem key.pem server-key.pem 证书可以使对外可读的，删除写入权限以防止意外损坏： chmod...模块验证一下，先看一下之前的连接： [image-20200709003514004] 显然是无法连接了，此时我们需要去拿到docker宿主机创建的证书，使用证书才可以进行连接： [image-20200709004029581

9.5K8 3

MySqlConnector连接选项「建议收藏」

数据库，初始目录（可选）要使用的初始数据库的区分大小写的名称。如果MySQL用户帐户仅具有服务器上特定数据库的访问权限，则可能需要这样做。...SSL / TLS选项这些是为了配置连接以使用SSL / TLS而需要使用的选项。名称默认描述 SSL模式，SslMode 首选此选项具有以下值：首选 – （这是默认值）。...名称默认描述 AllowPublicKeyRetrieval，允许公钥检索假如果用户帐户使用sha256_password身份验证，则必须在传输过程中保护密码; TLS是首选的机制，但如果它不可用...ServerSPN，服务器SPN 对于MariaDB auth_gssapi_client身份验证。指定服务器的服务主体名称（以验证是否使用正确的服务器进行身份验证）。...名称默认描述 AllowBatch，允许批处理真正 MySqlConnector始终允许批处理语句。

2.5K2 0

PKI - 借助Nginx 实现Https 服务端单向认证、服务端客户端双向认证

CRL编解码 OCSP协议数字证书验证 PKCS7标准实现 PKCS12个人数字证书格式实现等功能 openssl采用C语言作为开发语言，这使得它具有优秀的跨平台性能。...解释如下： -in server.crt：指定要查看的证书文件。 -noout：不打印证书内容到标准输出。 -text：以文本形式显示证书内容。...这是可选的，如果您希望服务器验证客户端的证书，则取消注释并指定客户端证书的路径。 #ss1_verify_client on;：用于指定是否验证客户端证书。...取消注释并设置为 on 可以启用客户端证书验证。 ss1_session_cache shared:ssL:1m;：指定用于缓存 SSL/TLS 会话的共享内存区域名称和大小。...) option. curl https://192.168.3.103 -k 可以通过在 curl 命令中添加 -k 或 --insecure 选项来关闭 curl 对证书的验证，从而允许直接访问未经验证的

2130 0

https原理及实践

，不提供安全性，正常加密算法是不允许出现输入不一样，输出一样的情况，但CRC是可以有这样情况的，因为CRC只是具有校验功能，不具有加密功能非对称加密算法常见的有： RSA，RSA既是一个公司的名称...可以指定值engine：name：id可以指定代替file（1.7.9），该文件从OpenSSL引擎名称加载具有指定标识的密钥id。...具有相同名称的缓存可以在多个虚拟服务器中使用。...验证结果存储在 $ ssl_client_verify变量中。的optional参数（0.8.7+）请求的客户端证书，并验证它证书是否存在。...对于旧版本，该变量仅适用于新会话，并只列出已知密码。

1.4K9 0

curl命令

--anyauth: HTTP，告诉curl自己找出身份验证方法，并使用远程站点声称支持的最安全的方法，这是通过首先执行请求并检查响应头来完成的，因此可能会导致额外的网络往返，这是用来代替设置特定的身份验证方法的...PEM格式的，如果curl是基于OpenSSL构建的，那么目录必须使用OpenSSL提供的c_rehash程序进行处理，如果--cacert文件包含许多CA证书，那么使用--capath可以使OpenSSL...-k, --insecure: SSL，这个选项显式地允许curl执行不安全的SSL连接和传输，所有SSL连接都试图通过使用默认安装的CA证书捆绑包来确保安全，这使得所有被认为是不安全的连接失败，除非使用...-M, --manual: 手动模式，显示详细的帮助文本。 -V, --version: 输出版本信息。环境变量使用环境变量设置代理与使用--proxy选项具有相同的效果。...55: 发送网络数据失败。 56: 接收网络数据失败。 58: 本地证书有问题。 59: 无法使用指定的SSL密码。 60: 对等证书不能用已知的CA证书进行身份验证。 61: 无法识别的传输编码。

9.2K4 0

HTTPS安全优化配置最佳实践指南简述

客户端进行HTTP公钥固定验证失败后，将把此次错误详情以JSON格式回报个report-uri参数中指定的服务器。...SNI : SNI(服务器名称指示)，这个是一个扩展的TLS协议，在该协议中，在TLS握手过程中客户端可以指定服务器的主机名称，这允许服务器在相同的IP和端口上部署多个证书，并允许在相同的IP地址上提供多个...最佳安全实践 2.1) 建议使用完整的证书链, 通过情况下仅服务器证书不够的,我们需要两个或多个证书来建立完整的信任链，当部署具有有效证书但没有所有必要的中间证书的服务器时会发生常见的配置问题，这是因为无效的证书链有效地使服务器证书无效并导致浏览器警告...例如, DANE在应对欺诈证书、处理证书撤销、创建可全球发布和检索证书的管理机制并允许自签名证书授权等方面提供了很好的解决方式. 实践配置 1.在腾讯云DNSPod控制台开启DNSSEC流程操作。...CA证书 (信任的)，在系统的内置证书库中不存在的话，用户第一次访问网站时会显示如下情况:（以Chrome为例）, 即使你的证书确实是可信的，但依旧会显示成不可信，只有等到浏览器自动把缺失的那张CA证书从网上下载下来之后

2.6K1 0

点击加载更多

扫码

添加站长进交流群

领取专属 10元无门槛券

手把手带您无忧上云