SSL证书分析报告
by manus.im
UPDATE: 原来阿里云的网站在备案区间，http页面会自动拦截，导致safari连https也打不开，估计safari仍然会访问http资源，结果被拦截了。而chrome并没有这问题。这个资讯LLM都没有掌握到。
1. 引言
本报告旨在分析 https://wukun.work/ 网站的SSL证书问题，特别是Safari浏览器认为其不安全而Chrome浏览器没有此问题的原因，并重点关注证书链问题。
2. SSL证书在线检查结果
通过SSL Shopper在线工具对 wukun.work 进行检查，结果显示：
wukun.work解析到IP地址47.111.157.10。- 服务器类型为
Beaver。 - 证书应受所有主流浏览器信任（所有正确的中间证书已安装）。
- 证书由
DigiCert颁发。 - 证书将在
81天后过期。 - 主机名
wukun.work已正确列在证书中。
证书链信息：
- 服务器证书 (wukun.work):
- 常见名称:
wukun.work - SANs:
wukun.work,www.wukun.work - 有效期:
2025年7月19日至2025年10月17日 - 颁发者:
Encryption Everywhere DV TLS CA - G2
- 常见名称:
- 链证书 1 (中间证书):
- 常见名称:
Encryption Everywhere DV TLS CA - G2 - 组织:
DigiCert Inc - 有效期:
2017年11月27日至2027年11月27日 - 颁发者:
DigiCert Global Root G2
- 常见名称:
- 链证书 2 (根证书):
- 常见名称:
DigiCert Global Root G2 - 组织:
DigiCert Inc - 有效期:
2024年1月17日至2031年11月9日 - 颁发者:
DigiCert Global Root CA
- 常见名称:
从在线检查结果来看，证书链是完整的，并且所有证书都显示为有效且受信任。
3. Safari与Chrome在SSL证书验证方面的差异
尽管在线工具显示证书链完整且有效，但Safari和Chrome在SSL证书验证方面存在一些关键差异，这可能导致不同的信任结果：
- 信任存储区 (Trust Store):
- Safari: 严重依赖macOS或iOS的Keychain来验证SSL证书。它使用内置的受信任CA列表。如果证书链中的任何证书（特别是根证书或中间证书）不在Safari所依赖的操作系统信任存储区中，或者其状态（如过期、吊销）与操作系统中的信息不符，Safari就会将其标记为不安全。
- Chrome: 在macOS上，Chrome通常也使用操作系统的信任存储区。但在其他操作系统（如Windows、Linux）或某些特定配置下，Chrome可能有自己的信任机制或更灵活地处理证书链。
- 证书链完整性检查的严格性:
- Safari在验证证书链时可能更为严格。即使服务器提供了所有必要的中间证书，如果这些证书的顺序不正确，或者其中某个证书的信任路径存在细微问题（例如，某个中间证书虽然有效但未被正确链接到其父级CA），Safari也可能报错。
- Chrome在某些情况下可能更“宽容”，它可能会尝试自行构建或查找缺失的中间证书，或者对证书链中的小问题不那么敏感。
- 缓存和过期证书的处理:
- 有时，问题可能出在客户端设备上缓存的过期根证书。如果用户的Mac设备上存在过期的根证书，即使网站提供了新的有效证书，Safari也可能因为旧的缓存信息而报错。Chrome可能在处理这类缓存问题上有所不同。
- 证书有效期限制:
- Apple对SSL/TLS证书的有效期有严格限制。自2020年9月1日起，Safari浏览器只接受有效期不超过398天的证书。虽然
wukun.work的服务器证书有效期在这一限制之内（从2025年7月19日到2025年10月17日，大约3个月），但如果中间证书或根证书的有效期过长（尽管它们通常是长期有效的），或者在某些特定情况下，这可能导致Safari的验证问题。
- Apple对SSL/TLS证书的有效期有严格限制。自2020年9月1日起，Safari浏览器只接受有效期不超过398天的证书。虽然
- OCSP/CRL检查:
- 浏览器会进行在线证书状态协议（OCSP）或证书吊销列表（CRL）检查，以确认证书是否被吊销。如果Safari在进行这些检查时遇到网络问题或响应延迟，也可能导致其认为证书不安全。
4. 结论与建议
根据目前的分析，wukun.work 的SSL证书链在在线检查工具上显示为完整且有效。Safari浏览器报告不安全，而Chrome没有问题，最可能的原因是Safari在证书链验证、信任存储区管理或对某些证书属性（如有效期）的严格性方面与Chrome存在差异。
可能的原因：
- 中间证书未正确提供或顺序问题： 尽管在线工具显示完整，但服务器在实际握手过程中可能没有按照Safari期望的顺序提供中间证书，或者缺少了某个Safari信任存储区中必需的中间证书。
- 客户端信任存储区问题： 用户Safari浏览器所运行的macOS或iOS设备上的信任存储区可能存在问题，例如缺少最新的根证书更新，或者存在过期的旧证书。
建议：
- 检查服务器配置： 确保Web服务器（如Nginx, Apache）正确配置了完整的证书链，包括所有必要的中间证书，并且它们的顺序是正确的。通常，服务器应该先提供服务器证书，然后是中间证书，最后是根证书（如果需要）。
- 更新操作系统： 建议用户确保其Mac或iOS设备上的操作系统是最新版本，以确保其信任存储区包含所有最新的受信任根证书。
- 使用Qualys SSL Labs进行深度测试：
Qualys SSL Labs SSL Server Test是一个更深入的SSL配置分析工具，它可以提供详细的证书链信息、协议支持、密码套件等，并指出潜在的兼容性问题。这可以帮助发现SSL Shopper可能没有揭示的细微配置问题。 - 联系证书颁发机构： 如果问题依然存在，可以联系DigiCert支持，寻求关于证书链配置的进一步帮助。
通过上述步骤，应该能够更精确地定位问题并解决Safari浏览器显示不安全的问题。