Почему https не работает с мобильных устройств?

Question

[dev400]

сертификат от comodo. с компьютера все норм, а с мобильных устройств говорит что небезопасное соединение

Answer 1

[Lindon_cano]

ssllabs.com/ssltest/
Что скажет про ваш сайт?
Прогоните, посмотрите на результаты, загляните в Handshake Simulation и что там про мобильные OS, например.
Если все нормально, то возможно ваш мобильный провайдер перехватывает https и подменяет сертификаты.

Comments

[dev400]

вот такое пишет Incorrect certificate because this client doesn't support SNI

[Lindon_cano]

dev400: клиент без поддержки SNI? Это может касаться только Android 2.x, четверка и выше держит. Подобных клиентов можно просто игнорировать, как это и делают. SNI позволяет иметь несколько доменов с https на одном IP, те кто его не поддерживают просто игнорятся.

[dev400]

Lindon_cano: так же вот еще Chain issues Incomplete, This server is vulnerable to the POODLE attack, This server's certificate chain is incomplete. Grade capped to B.

[Lindon_cano]

dev400: уууу… Идите читать настройку вашего веб-сервера. POODLE это как-то совсем грустно
Примерный конфиг для nginx получающий A+ на тестах

add_header Strict-Transport-Security "max-age=31536000";                                                                                                             
  ssl                  on;                                                                                                                                             
  ssl_protocols        TLSv1 TLSv1.1 TLSv1.2;                                                                                                                          
  ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-DSS-AES128-GCM-SHA256:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-DSS-AES128-SHA256:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:DHE-RSA-AES256
-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!3DES:!MD5:!PSK';                                                                                                                 
  ssl_session_cache    shared:SSL:10m;                                                                                                                                 
  ssl_verify_client    off;                                                                                                                                            
  ssl_session_timeout  5m;                                                                                                                                             
  ssl_dhparam /etc/nginx/dh.key;                                                                                                                               
  ssl_stapling on;                                                                                                                                                     
  ssl_stapling_verify on;                                                                                                                                              
  ssl_session_tickets on;                                                                                                                                              
  ssl_session_ticket_key /etc/nginx/ticket.key;                                                                                                                
  resolver 8.8.8.8;

команды создающие dh.key и ticket.key:

sudo openssl rand 48 > /etc/nginx/ticket.key
sudo openssl dhparam -out /etc/nginx/dh.key 2048

Пример рейтинга сервера с таким конфигом
https://www.ssllabs.com/ssltest/analyze.html?d=lin...

[dev400]

Lindon_cano: ругается на это ssl_protocols TLSv1 TLSv1.1 TLSv1.2; ssl_stapling on; ssl_session_tickets on; , не сохраняет настройки

[Lindon_cano]

dev400: версия nginx'а какая? уберите стаплинг(не подумал, что у вас сертификат без нужного содержимого может быть) и тикеты(очевидно ветка 1.4, она вроде не понимает их)
Протоколы должны быт в порядке.
Я копировал со своего боевого сервера, у меня 1.10/1.11 nginx'ы, чего и другим желаю.

[dev400]

Lindon_cano: nginx-0.7.67-3+squeeze3 , и к большому сожалению нет возможности обновиться( а выйти из ситуации как то нужно... И ошибка "сертификат сервера не является доверенным" только с мобильных устройств. С компьютера все отлично работает

[Lindon_cano]

dev400: ой! СРОЧНО ОБНОВЛЯТЬСЯ! Как минимум обновить nginx из офицального репозитория
deb nginx.org/packages/debian squeeze nginx
Там есть 1.8.0 для вашего Debian'а
В идеале обновить весь Debian, хотя бы до Wheeze.