Android и iOS ругаются на ssl сертификат

Question

[Рома]

Коллеги, помогите, плиз, разобраться…

Есть web-сервер на базе linux+apache. К этому серверу прикручен ssl сертификат (wildcard), подписанный RapidSSL CA (вышестоящий GeoTrust Global CA).

Когда захожу на этот сервер с компа (firefox, chrome, opera, opera mobile (через эмулятор андройда)), браузер говорит, что все хорошо, сертификат достоверный.

Но если захожу с Android (любым браузером) и iOS, то браузеры говорят, что сертификат получен из ненадежного центра сертификации.

Что тут может быть? Куда копать?
Может для апача надо какие-то дополнительные настройки делать?

Answer 1

[Рома]

Все спасибо за помощь. Разобрался…

Надо было в SSLCertificateFile указать файл, в котором только сертификат сервера, который мне выдал RapidSSL. А в SSLCACertificateFile — RapidSSLCABundle.crt, который скачивал с сайта RapidSSL (в этом файле сертификаты рапида и геотраста).

У меня же были в SSLCertificateFile указаны все сертификаты (их я слил в один файл) в порядке — мой, рапид, геотраст. А в SSLCACertificateFile стандартный /etc/pki/tls/certs/ca-bundle.crt (в нем нет рапида).

Answer 2

[Рома]

Да, все 3 сертификата. Key-файл тоже указан.

Comments

[Рома]

«Этот сертификат получен из ненадежного центра сертификации.»

Жму «Посмотреть сертификат», в разделе «Кому выдан» поле «Организация» пустое. В разделе «Кем выдан» поле «Подразделение» пустое, а «Обычное название» — RapidSSL CA и «Организация» — GeoTrust, Inc.

Понимаю, что тут что-то не то… Но не пойму куда копать…

Answer 3

[s1dney]

Возможно, на этом адресе есть еще сайты на ssl?

Comments

[Рома]

На адресе да, есть еще сайты, как с ssl, так и без. Но физически они на разных серверах. На всех один и тот же сертификат. Не ругается только на один из них, который на IIS под виндой.

[s1dney]

Скорее всего проблема вот такая: stackoverflow.com/questions/13862908/ssl-certificate-is-not-trusted-on-mobile-only

[Рома]

В сертификате (pem файл) перечислены все 3 сертификата, которые есть в цепочке. По порядку: мой сервер — RapidSSL, GeoTrust.

Answer 4

[kostarus61]

Angel2S2, точно такая же проблеме с таким же сертификатом, у меня сервер с CentOS, VDS выделенный IP, один домен и один сайт на этом IP. Можете подробнее описать куда заходить, в каких файлах и что нужно прописать.

Answer 5

[talk2me]

Чтобы на android и ios работало нужно добавить:

SSLEngine on
SSLCertificateFile /etc/letsencrypt/live/domain.tld/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/domain.tld/privkey.pem
+SSLCertificateChainFile /etc/letsencrypt/live/domain.tld/chain.pem