Your connection is not private: co varování znamená a jak to opravit
"Your connection is not private" je varovný nadpis Chrome pro celou rodinu chyb certifikátů NET::ERR_CERT_*, zobrazený kdykoli prohlížeč dostane certifikát, kterému nemůže plně důvěřovat. Přesný kód pod nadpisem, viditelný po kliknutí na "Advanced," řekne, o který konkrétní problém jde.
Co varování znamená
Na rozdíl od ERR_SSL_PROTOCOL_ERROR, které nastane dřív, než se jakýkoli certifikát posuzuje, tohle varování vždy znamená, že certifikát byl přijat a vyhodnocen, a selhal na jedné konkrétní kontrole: svých datech, vydavateli, shodě názvu hostitele, nebo stavu odvolání. Chrome tohle všechno řadí pod jeden znepokojivý nadpis, protože základní riziko je v obou případech stejné (spojení možná nemluví s tím, s kým si myslí, že mluví), ale oprava závisí úplně na tom, který konkrétní kód NET::ERR_CERT_* za tím stojí.
Jak se varování projevuje
Chrome zobrazí varování na celou stránku v červené barvě: "Your connection is not private - Attackers might be trying to steal your information from example.com," s odkazem "Proceed to example.com (unsafe)" skrytým pod "Advanced." Firefox zobrazí "Warning: Potential Security Risk Ahead" s konkrétním chybovým kódem. Safari zobrazí "This Connection Is Not Private." Edge se zněním Chrome věrně kopíruje.
Co znamenají konkrétní chybové kódy
| Kód | Co znamená |
|---|---|
| NET::ERR_CERT_DATE_INVALID | Okno platnosti certifikátu nepokrývá právě teď, ať už proto, že vypršel, ještě není platný, nebo se plete hodiny zařízení návštěvníka. |
| NET::ERR_CERT_AUTHORITY_INVALID | Certifikát nebyl vydán autoritou, které prohlížeč důvěřuje. Obvykle certifikát podepsaný sám sebou, chybějící mezilehlý certifikát v řetězci, nebo certifikát od nerozpoznané nebo soukromé certifikační autority. |
| NET::ERR_CERT_COMMON_NAME_INVALID | Certifikát je platný, ale nebyl vydaný pro navštěvovaný název hostitele. Špatná nebo chybějící položka v seznamu Subject Alternative Name (SAN) certifikátu, často po přidání nové subdomény bez opětovného vydání certifikátu, který by ji pokryl. |
| NET::ERR_CERT_REVOKED | Certifikační autorita tento certifikát výslovně odvolala před datem jeho vypršení, typicky proto, že byl kompromitovaný soukromý klíč nebo byl certifikát vydán chybně. |
Je to vaše zařízení, nebo web?
Pokud se varování objevuje na mnoha různých webech, ne jen na jednom, nejdřív zkontrolujte hodiny svého zařízení: výrazně špatné datum rozbije ověřování certifikátů úplně všude a je to celkově jedna z nejčastějších příčin tohohle varování. Pokud se to děje jen na jednom webu a vypadá to stejně z jiných zařízení a sítí, samotný certifikát potřebuje opravit na serveru. SSL kontrola z několika míst jedním průchodem potvrdí, jestli je problém s certifikátem konzistentní všude, nebo specifický pro nastavení jednoho návštěvníka.
Jak opravit "Your connection is not private"
Pokud jste návštěvník
- Zkontrolujte systémové datum a čas a nastavte automatickou synchronizaci; tohle samo o sobě vyřeší velkou část varování ERR_CERT_DATE_INVALID, které nemají s webem vůbec nic společného.
- Pokud jste na veřejné Wi-Fi, hledejte captive portál. Některé sítě v hotelích, na letištích nebo v kavárnách zachytí první požadavek HTTPS vlastním certifikátem, aby vás přesměrovaly na přihlašovací stránku, což tohle přesné varování spustí; nejdřív otevřete obyčejný web HTTP nebo přihlašovací stránku sítě.
- Zkontrolujte, jestli spojení nezachytává skenování HTTPS antivirem vlastním certifikátem; dočasné vypnutí a nový pokus izoluje, jestli je příčinou tenhle software.
- Nikdy se přes varování neproklikávejte na webu, kde se chystáte zadat heslo, platební údaje, nebo jiné citlivé informace. Varování existuje konkrétně proto, že prohlížeč nedokáže potvrdit, že skutečně mluví s webem, který jste zamýšleli; jeho obejití tuhle záruku úplně odstraní.
- Pokud web skutečně poznáváte a důvěřujete mu (například interní firemní nástroj s certifikátem podepsaným sám sebou), je tohle jedna situace, kdy pokračování přes varování, poté co přesně pochopíte, proč se objevilo, je rozumná volba.
Pokud web provozujete
- Nainstalujte celý řetězec certifikátů, ne jen koncový certifikát. ERR_CERT_AUTHORITY_INVALID často způsobuje chybějící mezilehlý certifikát spíš než skutečně nedůvěryhodný vydavatel; ověřte pomocí
openssl s_client -connect example.com:443 -showcerts, že se celý řetězec podává ve správném pořadí. - Znovu vydejte certifikát se správnými položkami SAN kdykoli se objeví ERR_CERT_COMMON_NAME_INVALID, a ujistěte se, že je uvedený každý název hostitele a subdoména skutečně používané, ne jen holá doména.
- Obnovujte před vypršením, ne po něm, a nastavte si připomínku nebo automatizovanou obnovu (jako certbot Let's Encrypt s úlohou cronu) s dostatečným předstihem před datem vypršení, místo abyste reagovali na varování až ve chvíli, kdy ho začnou hlásit návštěvníci.
- Pokud byl certifikát vydán chybně, nebo unikl soukromý klíč, okamžitě ho odvolejte a znovu vydejte, místo abyste ho nechali živý; ERR_CERT_REVOKED u starého certifikátu je pak očekávané a správné chování.
- Nikdy nepoužívejte certifikát podepsaný sám sebou na veřejně přístupném webu. Je vhodný pro interní nástroje, kde lze každého klienta výslovně nastavit, aby mu důvěřoval, ale na veřejném webu spustí ERR_CERT_AUTHORITY_INVALID pro každého běžného návštěvníka.
Související chyby
- ERR_CERT_DATE_INVALID podrobněji pokrývá případ vypršelého nebo ještě neplatného certifikátu, včetně úhlu pohledu s vychýlenými hodinami.
- ERR_SSL_PROTOCOL_ERROR je selhání dřívější fáze, kde se handshake rozpadne, ještě než je vůbec přijat jakýkoli certifikát, na rozdíl od každého případu na této stránce.
Firefox, Safari a Edge řadí stejné základní příčiny pod mírně jiné popisky a barvy, ale rozdělení na "je to moje zařízení" a "je to certifikát webu" platí napříč všemi z nich: problém s hodinami nebo zachytáváním na jednom počítači vyprodukuje varování úplně všude, kam ten počítač prohlíží, zatímco skutečná vada certifikátu ho vyprodukuje pro každého návštěvníka, který na daný web narazí, bez ohledu na to, jaký prohlížeč používá.
Jak předejít
Problém s certifikátem tak viditelný stojí důvěru ve chvíli, kdy ho návštěvník uvidí, a vypršení je zvlášť úplně předem předvídatelné. Monitoring vypršení SSL certifikátu sleduje, kolik dní certifikátu zbývá, a upozorní dřív, než vyprší, místo až poté, co varování začnou vidět návštěvníci. HostTracker monitoruje weby od roku 2004 z více než 300 kontrolních bodů ve 158 městech a upozorňuje e-mailem, SMS, hlasovým hovorem, přes Slack, Telegram a další.
Často kladené otázky
Je někdy bezpečné kliknout na "Proceed anyway"?
Jen když přesně chápete, proč se varování objevilo, a webu přesto důvěřujete, například u interního nástroje používajícího certifikát podepsaný sám sebou, který jste si sami nastavili. Nikdy nepokračujte na webu, kde se chystáte napsat heslo nebo platební údaje.
Proč tohle varování vidím na každém webu, ne jen na jednom?
To skoro vždy ukazuje na to, že se pletou hodiny vašeho vlastního zařízení, nebo občas na antivirový či firemní software zachytávající provoz HTTPS na vašem počítači. Nejdřív zkontrolujte systémové datum.
Jaký je rozdíl mezi vypršelým certifikátem a odvolaným?
Vypršelý certifikát prostě dosáhl konce svého okna platnosti, což je rutinní a očekávaná událost, pokud nebyl včas obnoven. Odvolaný certifikát byl výslovně a předčasně zneplatněn svým vydavatelem, obvykle kvůli bezpečnostnímu problému, jako je kompromitovaný soukromý klíč.
Přidal jsem novou subdoménu a teď se zobrazuje tohle varování. Proč?
Existující seznam SAN certifikátu pravděpodobně novou subdoménu neobsahuje. Znovu vydejte certifikát tak, aby pokrýval každý skutečně používaný název hostitele, včetně jakýchkoli nových subdomén.
Může varování o certifikátu skutečně způsobit přihlašovací stránka Wi-Fi v hotelu nebo na letišti?
Ano. Captive portál, který zachytí váš první požadavek HTTPS, aby vás přesměroval na svou přihlašovací stránku, nemůže předložit platný certifikát pro web, na který jste se snažili dostat, takže to prohlížeč správně označí. Přihlášení do portálu jako první to obvykle vyřeší.