Как сделать самоподписанный сертификат доверенным на Windows?

Question

[Nik Faraday]

Нужно поставить локальный SSL сертификат на Windows для подключения проекта React на asp.net core web api через https с использованием сертификата. Мне предоставили следующие файлы:

• cert.pem
  
• cert.pfx
  
• encryptedkey.pem
  

Я пытался их добавить в certmgr.msc и, вроде бы, они поставились, но при попытке запуска проекта получаю ошибку NET::ERR_CERT_COMMON_NAME_INVALID Error. Вот конфигурация проекта на asp.net, appsettings.json:

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://localhost:5001",
      "Certificate": {
        "Path": "Certificates/cert.pfx",
        "Password": "qwerty"
      }
    }
  }
},

Вот Program.cs:

var httpsConnectionAdapterOptions = new HttpsConnectionAdapterOptions
{
    SslProtocols = System.Security.Authentication.SslProtocols.Tls12,
    ClientCertificateMode = ClientCertificateMode.AllowCertificate,
    ServerCertificate = new X509Certificate2("Certificates/cert.pfx", "qwerty"),
};
builder.WebHost.ConfigureKestrel(options =>
    options.ConfigureEndpointDefaults(listenOptions =>
        listenOptions.UseHttps(httpsConnectionAdapterOptions)));

Comments

[Valentin Barbolin]

COMMON_NAME_INVALID

Это тебе браузер показывает? Ты наверное на localhost обращаешся? Говорит что COMMON_NAME (domain name) в сертификате и в URL не совпадают. Соответственно пропиши domain name в hosts на клиенте и открывай в браузере по domain name.

[Nik Faraday]

Valentin Barbolin, тут немного потерялся. Можете, пожалуйста, немного подробнее написать?

[Valentin Barbolin]

Nik Faraday, Сначала ты. Где ты эту ошубку видиш? NET::ERR_CERT_COMMON_NAME_INVALID

[Nik Faraday]

Valentin Barbolin, при запуске проекта asp.net core web api локально. Это мне отсвечивает браузер

[Valentin Barbolin]

Nik Faraday, на windows?

[Saboteur]

Nik Faraday, У сертификата есть поле Common Name или Certificate Subject, там где ты указывал имя при генерации сертификата.
Оно должно соответствовать имени домена (например localhost)

Либо у сертификата есть дополнительное поле Alternative Subject Names, где можно перечислить несколько DNS имен, тогда localhost должен быть или там или там.
Иначе не пройдет валидация, браузер не будет видеть что сертификат соответствует твоему сайту localhost

[Nik Faraday]

Saboteur, да, вы правы. В Certificate Subject указанно имя текущей компании на которой я работаю, выглядит примерно вот так:

E = [e-mail]
CN = Nik
OU = company
O = company
L = city
S = city
C = UA

На сколько я понял, нужно добавить Alternative Subject Names вручную и указать там localhost?

[Nik Faraday]

Valentin Barbolin, да

[Valentin Barbolin]

Nik Faraday, Открываем c:\Windows\System32\drivers\etc\hosts
и добавляем строчку
localhost DOMAIN_NAME # Где DOMAIN_NAME это CN из сертификата.

Потом открываем у браузере страничку уже по DOMAIN_NAME

[Nik Faraday]

Saboteur, напишите отдельным ответом, я отмечу решением. Именно ваш комментарий помог сориентироваться в нужном направлении, спасибо

Answer 1

[Роман Безруков]

надо импортировать cert.pfx в хранилище сертификатов локальной машины (через certlm.msc), затем там же перенести/скопировать импортированный сертификат в "Доверенные корневые центры сертификации"

Comments

[Nik Faraday]

Я это уже всё сделал. Что дальше? Почему ошибка есть до сих пор?

[Роман Безруков]

Nik Faraday, а точно это проделали в хранилище локальной машины, а не текущего пользователя?

[Nik Faraday]

Роман Безруков, да. Я перед тем, как написать вопрос перерыл пол интернета и поиске решения проблемы

[Роман Безруков]

Nik Faraday, что указано в полях CN (Common Name), Subject, Subject Alternative Names? где-то присутствует localhost ?

[Nik Faraday]

Роман Безруков,

да, вы правы. В Certificate Subject указанно имя текущей компании на которой я работаю, выглядит примерно вот так:

E = [e-mail]
CN = Nik
OU = company
O = company
L = city
S = city
C = UA

На сколько я понял, нужно добавить Alternative Subject Names вручную и указать там localhost?

[Роман Безруков]

Nik Faraday, вам уже, в принципе, подсказали что делать...надо перевыпустить сертификат, добавив localhost в поле Subject Alternative Names

[MVV]

Роман Безруков, есть альтернатива: не перевыпускать сертификат, а добавить имя DNS из него в файл hosts (%SystemRoot%\system32\drivers\etc\hosts , без расширения, если нет - создать такой файл, можно для этого скопировать hosts.sam из той же папки): нужно добавить строчку
127.0.0.1 имя-DNS-из-сертификата
IMHO так проще. А кроме того, это имя еще может быть прописано в проекте и обращение https://localhost/ может не сработать

[Роман Безруков]

MVV, можно и так...

Answer 2

[Saboteur]

У сертификата есть поле Common Name или Certificate Subject, там где ты указывал имя при генерации сертификата.
Оно должно соответствовать имени домена (например localhost)

Либо у сертификата есть дополнительное поле Alternative Subject Names, где можно перечислить несколько DNS имен, тогда localhost должен быть или там или там.
Иначе не пройдет валидация, браузер не будет видеть что сертификат соответствует твоему сайту localhost