apache mod_ssl怎样向浏览器发送多条证书链？

我用的是CentOS 6自带的apache和mod_ssl，更新到了最新。

免费证书有多条证书链。一条是startcom的旧链，一条是沃通新根证书，另一条是WoSign1999（暂不考虑）。
我目前的证书链SSLCACertificateFile是这样的：

1. -----BEGIN CERTIFICATE-----
   
2. // 旧的沃通 DV 服务器根证书
   
3. // 9f c0 b2 b7 fb 26 ff ce 71 c0 61 03 42 1a 02 f1 15 52 24 d4
   
4. -----END CERTIFICATE-----
   
5. 
   
6. -----BEGIN CERTIFICATE-----
   
7. // 旧的Certification Authority of WoSign
   
8. // 86 82 41 c8 b8 5a f7 9e 2d ac 79 ed ad b7 23 e8 2a 36 af c3
   
9. -----END CERTIFICATE-----
   
10. 
    
11. -----BEGIN CERTIFICATE-----
    
12. // 新的沃通 DV 服务器根证书
    
13. // b3 fd 5b a4 2b 8d 19 6d e4 f1 62 46 cf 2f d6 0e c2 c9 03 e9
    
14. -----END CERTIFICATE-----

复制代码

这样设置的结果是，浏览器只会检查第一条证书（当然，因为是StartCom验证，浏览器都支持），但是 https://www.ssllabs.com/ssltest 显示并未收到新的沃通 DV 服务器根证书。

如果我把新的沃通 DV 服务器根证书换到第一个，firefox 31会提示证书错误，也就是说没检查后面的那条证书链。

请问怎么设置才能让新的根证书优先，但旧浏览器也能收到Startcom的那条证书链？

新的沃通 DV 服务器根证书换到第一个，firefox 31会提示证书错误——估计你没把交叉根和顶级根一起集合到中级根中去，火狐才会提示。你这样把三个根集合进去后。配置到apache中指定根证书的地方。然后在测试下

WS_Daniel 发表于 2014-8-19 08:31
新的沃通 DV 服务器根证书换到第一个，firefox 31会提示证书错误——估计你没把交叉根和顶级根一起集合到中 ...

我把顶级根加进去也没用。

你可以试试看这个： wosign_bundle.zip (6.91 KB, 下载次数: 5)

2014-8-19 15:24 上传

点击文件名下载附件
证书结构是，前两个是新的DV根、沃通根，后三个是旧的DV根、CA wosign、Startcom

服务器是Scientific linux 6.5 （和RH / centos一样的）：
httpd-2.2.15-31.sl6.x86_64
mod_ssl-2.2.15-31.sl6.x86_64


或者能不能扔个免费ssl的证书链bundle给我？

webmaste-258 发表于 2014-8-19 15:35
我把顶级根加进去也没用。

你可以试试看这个：

看了下你给的根文件。里面的字符串根都乱成一起了。这样肯定不行呀。我给你发一个吧。看附件
把我这个根证书安装到apache中根证书地方去

赞！

WS_Daniel 发表于 2014-8-21 09:44
看了下你给的根文件。里面的字符串根都乱成一起了。这样肯定不行呀。我给你发一个吧。看附件
把我这个根 ...

你这里面只包含了startcom的那条证书链，没有包含新的沃通根和沃通DV根（注意新沃通DV根和startcom那个沃通DV根是两张不同的证书）。即使使用firefox32，照样优先走的是startcom的链，新DV根则需要从沃通的证书服务器额外下载。

注意之前免费的SSL CA 沃通根证书 是暂时不支持火狐滴。所以建议您还是startcom的根哦

WS_Daniel 发表于 2014-8-22 09:46
注意之前免费的SSL CA 沃通根证书 是暂时不支持火狐滴。所以建议您还是startcom的根哦

以前的那张 868241c8b85af79e2dac79edadb723e82a36afc3 （Certification Authority of WoSign）不被ff支持，所以是靠startcom的交叉签名来认证的。

但现在有了两张新证书已加入了NSS 3.16.3，分别是：
(1) Certification Authority of WoSign
B9:42:94:BF:91:EA:8F:B6:4B:E6:10:97:C7:FB:00:13:59:B6:76:CB
(2) CA 沃通根证书
16:32:47:8D:89:F9:21:3A:92:00:85:63:F5:A4:A7:D3:12:40:8A:D6

我测试过新签的免费证书，是有16:32这张证书链的。
我想问，能否让浏览器优先走16:32证书链（比如FF32），如果不支持（比如FF31），则走startcom证书链？

您是否有QQ。您可以加我这个QQ 1465836420 咱Q 讨论