Google ChromeのERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED

Question

SSLクライアント証明書の承認を使用するウェブサイトがあります。 すべてのクライアント証明書はOpenSSLを使用して生成され、自己署名されています。すべてのWebブラウザで動作しますが、IEと同じSSLウェアハウスを使用しているため、推奨されているのはGoogle Chromeです。証明書のインストールはとても簡単でした（click-click-password-done！）。 Googleの「Chrome 29.0.1547.57 m」の最終更新後、誰も私のWebサーバーにアクセスすることはできません。 Google Chromeエラーのみ！ IEとFFは正常に動作します。 エラーはERR_SSL_CLIENT_AUTH_SIGNATURE_FAILEDです。 サーバエラーログと同じです。 ご意見はありますか？ 問題は、クライアントのほとんどがPCに精通しておらず、その状況について非常に驚いています。だから、電話サポートの人たちは電話の波の下にいる。

Answer 1

私たちのシステムの一部に対してクライアント証明書で認証できないWindows7クライアントシステムでは、同じことが発生しています。影響を受けるサーバーはApache Tomcatを実行していますが、影響を受けていないユーザーはIIS7を実行していますが、その違いを原因と判断することは躊躇しています。

他にもこれが表示されますか？

EDIT：

私はサーバー上TLSv1.2を無効にすることで問題を解消することができますよ。他の誰かがこの経験を再現できますか？

私はまた、他の誰かがWindowsプラットフォーム以外でこれを見ているかどうかを知ることに興味があります。ここで起こっている唯一の場所です（同じバージョンのOSXは問題ありません）。

EDIT2：ここ

クロームバグレポート：https://code.google.com/p/chromium/issues/detail?id=278370

EDIT3：

は、最新のクロームの安定に再び動作されなければなりません。 Chrome 30はより堅牢な修正を行いますが、29.xも今すぐ動作するはずです。

Answer 2

Win XPとGoogle Chromeの組み合わせ29.0.1547.57 m Win 7/8ではこの問題は発生しません。あなたは更新を無効にするために、古い作業バージョン28.0.1500.95 http://www.filehippo.com/download_google_chrome/15657/

しかし、設定をインストールすることができ

はそう簡単ではありません。 http://dev.chromium.org/administrators/turning-off-auto-updates

Answer 3

同じ問題が発生しています。 Seanが報告したように、Windows XPのChrome は、オペレーティングシステムがSHA-2（たとえばSHA-256またはSHA-384） ハッシュ関数をサポートしていなくても、TLSv1.2をネゴシエートするようだ。

SERVER HELLOの後に「クライアント証明書要求」を受け取ったときにChromeが失敗することが判明しました。 SERVER HELLO自体が成功するはずのRC4-SHA1（私たちの環境内で）をネゴシエートします。問題のある パケットは、ハッシュ用のSHA-2（およびSHA1）機能を含む「クライアント証明書要求」のようです。"--enableロギング--logレベル= 0" を、次​​のメッセージを出力と

呼び出しクローム： ERROR：nss_ssl_util.cc（193）] ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED：NSSエラー-12222、OSのエラー-2146893816

これはCryptSignHash機能のための「NTE_BAD_ALGID」に対応するオペレーティングシステムエラーです：サーバー上TLSv1.2を無効 http://msdn.microsoft.com/en-us/library/windows/desktop/aa380280(v=vs.85).aspx

は、問題を修正する必要があります。しかし、私はクロムがWindows XP上でSHA1を好むべきだと思う。

Answer 4

この問題は、Windows XP上のTLSv1.2を実行しているChromeによって発生します。

これは、サーバー側だけでなくクライアント側でも無効にすることができます。 TLSの下位バージョンでChromeを実行するには

、コマンドラインオプション--ssl-バージョン-MAXでそれを開始= tls1.1

Answer 5

は、私は、Apacheスローproxy_wstunnel_moduleにWebSocketをしてChromeを接続し、この問題を抱えていました。私のソリューションは、httpd.confの設定をして

ProxyPass /wss2/ ws://127.0.0.1:8080/ retry=0 keepalive=On 
ProxyPassReverse /wss2/ ws://127.0.0.1:8080/ retry=0 
    <Location /wss2/> 
     SSLRequireSSL On 
     SSLVerifyClient none 
     SSLVerifyDepth 1 
     SSLOptions +StdEnvVars +StrictRequire 
     SSLRenegBufferSize 10486000 
    </Location> 

クロームWebSocketを、私はこれが役に立てば幸いオプション

パラメータでSSLVerifyClientが好きではありません。