如何在网站之间共享自签名的TLS证书

Question

我已经在同一域中的两个网站示例app1.test.local和app2.test.test.lcaol。以下是我生成自签名证书的过程。

• 创建一个私钥。

openssl genrsa -out tls.key 2048

• 编辑openssl.conf文件和更新req_distinginginged_name和alt_names cottents。

[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req

[req_distinguished_name]
countryName = IN
countryName_default = IN
stateOrProvinceName = KA
stateOrProvinceName_default = KA
localityName = Test
localityName_default = Test
organizationalUnitName = test
organizationalUnitName_default = test
commonName = *.test.local
commonName_max = 64
[ v3_req ]
# Extensions to add to a certificate request
basicConstraints = CA:FALSE
keyUsage = nonRepudiation, digitalSignature, keyEncipherment
subjectAltName = @alt_names
[alt_names]
DNS.1 = *.test.local

• 创建证书签名请求

openssl req -new -out tls.csr -key tls.key -config openssl.cnf

• 签署SSL证书。

openssl x509 -req -days 3650 -in tls.csr -signkey tls.key -out tls.crt -extensions v3_req -extfile openssl.cnf

从查看证书浏览器的选项我可以看到san和cn hap *。test.local价值。但是，当我从app1浏览器启动应用程序app2时，再次提示信任证书[证书不信任，因为它是自签名的。] 。

问题：如何防止浏览器提示接受风险，并多次继续使用同一证书的，但来自不同网站的自签名证书。

Answer 1

如何防止浏览器多次提示对同一证书但来自不同网站的自签名证书接受风险并继续。

覆盖证书的警告只会影响当前使用的域，而不影响证书中的每个域。否则，有人可以为一些无辜的网站创建一个证书，但其中还包括重要网站（如 paypal.com）的 SAN - 然后再使用该证书来冒充重要网站。

要使证书中给定的所有域都信任证书，需要将证书显式导入为受信任的浏览器信任存储区，而不是简单地忽略证书警告。