Your connection is not private: co znaczy ostrzeżenie i jak je naprawić
"Your connection is not private" to nagłówek ostrzeżenia Chrome dla całej rodziny błędów certyfikatu NET::ERR_CERT_*, pokazywany zawsze, gdy przeglądarka otrzyma certyfikat, któremu nie może w pełni zaufać. Dokładny kod pod nagłówkiem, widoczny po kliknięciu "Zaawansowane", mówi, o który konkretny problem chodzi.
Co oznacza to ostrzeżenie
W przeciwieństwie do ERR_SSL_PROTOCOL_ERROR, który pojawia się, zanim jakikolwiek certyfikat zostanie oceniony, to ostrzeżenie zawsze oznacza, że certyfikat został otrzymany i oceniony, i zawiódł jedną konkretną kontrolę: swoje daty, wystawcę, dopasowanie nazwy hosta albo status unieważnienia. Chrome grupuje to wszystko pod jednym alarmującym nagłówkiem, bo leżące u podstaw ryzyko jest takie samo niezależnie od przypadku (połączenie może nie rozmawiać z tym, z kim myśli), ale naprawa zależy całkowicie od tego, który konkretny kod NET::ERR_CERT_* za tym stoi.
Jak pojawia się ostrzeżenie
Chrome pokazuje pełnoekranowe czerwone ostrzeżenie: "Your connection is not private - Attackers might be trying to steal your information from example.com", z linkiem "Proceed to example.com (unsafe)" ukrytym pod "Advanced". Firefox pokazuje "Warning: Potential Security Risk Ahead" z konkretnym kodem błędu. Safari pokazuje "This Connection Is Not Private." Edge blisko odzwierciedla sformułowanie Chrome.
Co oznaczają konkretne kody błędów
| Kod | Co oznacza |
|---|---|
| NET::ERR_CERT_DATE_INVALID | Okno ważności certyfikatu nie obejmuje aktualnego momentu, albo dlatego, że wygasł, jeszcze nie jest ważny, albo zegar urządzenia odwiedzającego jest błędny. |
| NET::ERR_CERT_AUTHORITY_INVALID | Certyfikat nie został wystawiony przez urząd, któremu ufa przeglądarka. Zwykle certyfikat samopodpisany, brakujący certyfikat pośredni w łańcuchu, albo certyfikat od nierozpoznanego lub prywatnego CA. |
| NET::ERR_CERT_COMMON_NAME_INVALID | Certyfikat jest ważny, ale nie został wystawiony dla odwiedzanej nazwy hosta. Zły albo brakujący wpis na liście Subject Alternative Name (SAN) certyfikatu, często po dodaniu nowej subdomeny bez ponownego wystawienia certyfikatu, żeby ją objąć. |
| NET::ERR_CERT_REVOKED | Urząd certyfikacji wprost unieważnił ten certyfikat przed jego datą wygaśnięcia, zwykle dlatego, że klucz prywatny został skompromitowany albo certyfikat był źle wystawiony. |
Czy to Twoje urządzenie, czy witryna?
Jeśli ostrzeżenie pojawia się na wielu różnych witrynach, nie tylko jednej, sprawdź najpierw zegar swojego urządzenia: mocno błędna data psuje walidację certyfikatów wszędzie naraz i to jedna z najczęstszych przyczyn tego ostrzeżenia w ogóle. Jeśli zdarza się tylko na jednej witrynie i wygląda tak samo z innych urządzeń i sieci, sam certyfikat wymaga naprawy na serwerze. Kontrola SSL z kilku lokalizacji potwierdza w jednym przebiegu, czy problem z certyfikatem jest spójny wszędzie, czy specyficzny dla konfiguracji jednego odwiedzającego.
Jak naprawić "Your connection is not private"
Jeśli jesteś odwiedzającym
- Sprawdź datę i godzinę systemową i ustaw automatyczną synchronizację; to samo rozwiązuje sporą część ostrzeżeń ERR_CERT_DATE_INVALID niemających nic wspólnego z samą witryną.
- Jeśli jesteś na publicznym Wi-Fi, sprawdź, czy nie ma captive portalu. Niektóre sieci hoteli, lotnisk albo kawiarni przechwytują pierwsze żądanie HTTPS własnym certyfikatem, żeby przekierować Cię na stronę logowania, co wywołuje dokładnie to ostrzeżenie; otwórz najpierw zwykłą stronę HTTP albo stronę logowania sieci.
- Sprawdź skanowanie HTTPS w antywirusie przechwytujące połączenie własnym certyfikatem; tymczasowe wyłączenie i ponowna próba izoluje, czy to oprogramowanie jest przyczyną.
- Nigdy nie klikaj dalej przy ostrzeżeniu na witrynie, gdzie masz zaraz wpisać hasło, dane płatności albo inne wrażliwe informacje. Ostrzeżenie istnieje konkretnie dlatego, że przeglądarka nie może potwierdzić, że faktycznie rozmawia z witryną, którą zamierzałeś odwiedzić; ominięcie go całkowicie usuwa tę gwarancję.
- Jeśli rozpoznajesz i ufasz witrynie (na przykład wewnętrznemu narzędziu firmowemu z certyfikatem samopodpisanym), to jedyna sytuacja, w której przejście dalej mimo ostrzeżenia, po zrozumieniu dokładnie, dlaczego się pojawiło, jest rozsądnym wyborem.
Jeśli prowadzisz witrynę
- Zainstaluj pełny łańcuch certyfikatów, nie tylko certyfikat liścia. ERR_CERT_AUTHORITY_INVALID jest często spowodowany brakującym certyfikatem pośrednim, a nie faktycznie niezaufanym wystawcą; zweryfikuj poleceniem
openssl s_client -connect example.com:443 -showcerts, że pełny łańcuch jest serwowany w poprawnej kolejności. - Wystaw ponownie certyfikat z poprawnymi wpisami SAN zawsze, gdy pojawia się ERR_CERT_COMMON_NAME_INVALID, upewniając się, że każda faktycznie używana nazwa hosta i subdomena jest wymieniona, nie tylko goła domena.
- Odnów przed wygaśnięciem, nie po, i ustaw przypomnienie albo zautomatyzowane odnowienie (takie jak certbot Let's Encrypt z zadaniem crona) z dobrym wyprzedzeniem przed datą wygaśnięcia, zamiast reagować na ostrzeżenie dopiero, gdy odwiedzający zaczną je zgłaszać.
- Jeśli certyfikat został źle wystawiony albo klucz prywatny wyciekł, natychmiast go unieważnij i wystaw ponownie, zamiast zostawiać go żywym; ERR_CERT_REVOKED na starym certyfikacie to oczekiwane i poprawne zachowanie, gdy to się stanie.
- Nigdy nie używaj certyfikatu samopodpisanego na witrynie publicznej. Jest odpowiedni dla narzędzi wewnętrznych, gdzie każdy klient może być jawnie skonfigurowany, żeby mu ufać, ale wywoła ERR_CERT_AUTHORITY_INVALID dla każdego zwykłego odwiedzającego publicznej witryny.
Powiązane błędy
- ERR_CERT_DATE_INVALID obejmuje bardziej szczegółowo przypadek wygaśnięcia albo jeszcze-nieważności, w tym aspekt rozjazdu zegara.
- ERR_SSL_PROTOCOL_ERROR to awaria na wcześniejszym etapie, gdzie handshake załamuje się, zanim jakikolwiek certyfikat zostanie w ogóle otrzymany, w przeciwieństwie do każdego przypadku na tej stronie.
Firefox, Safari i Edge sortują te same leżące u podstaw przyczyny do nieco innych etykiet i kolorów, ale podział na "czy to moje urządzenie" i "czy to certyfikat witryny" utrzymuje się we wszystkich: problem z zegarem albo przechwytywaniem na jednej maszynie produkuje ostrzeżenie wszędzie, gdzie ta maszyna przegląda, podczas gdy prawdziwa wada certyfikatu produkuje je dla każdego odwiedzającego trafiającego na tę jedną witrynę, niezależnie od tego, jaką przeglądarkę uruchamia.
Jak temu zapobiec
Problem z certyfikatem tak widoczny kosztuje zaufanie w chwili, gdy odwiedzający go zobaczy, a wygaśnięcie w szczególności jest całkowicie przewidywalne z góry. Monitorowanie wygaśnięcia certyfikatu SSL śledzi liczbę dni pozostałych na certyfikacie i alarmuje, zanim wygaśnie, zamiast po tym, jak odwiedzający zaczną widzieć ostrzeżenie. HostTracker monitoruje witryny od 2004 roku z ponad 300 punktów kontrolnych w 158 miastach i alarmuje e-mailem, SMS-em, połączeniem głosowym, przez Slack, Telegram i inne kanały.
Najczęściej zadawane pytania
Czy kiedykolwiek bezpiecznie jest kliknąć "Proceed anyway"?
Tylko wtedy, gdy dokładnie rozumiesz, dlaczego ostrzeżenie się pojawiło, i mimo to ufasz witrynie, na przykład wewnętrznemu narzędziu z certyfikatem samopodpisanym, które sam skonfigurowałeś. Nigdy nie przechodź dalej na witrynie, gdzie masz zaraz wpisać hasło albo dane płatności.
Dlaczego widzę to ostrzeżenie na każdej witrynie, nie tylko jednej?
To niemal zawsze wskazuje na błędny zegar Twojego własnego urządzenia, albo czasem na antywirus albo oprogramowanie firmowe przechwytujące ruch HTTPS na Twojej maszynie. Sprawdź najpierw datę systemową.
Jaka jest różnica między certyfikatem wygasłym a unieważnionym?
Wygasły certyfikat po prostu dotarł do końca swojego okna ważności, rutynowe i oczekiwane zdarzenie, jeśli nie zostanie odnowiony na czas. Unieważniony certyfikat został wprost dezaktywowany wcześniej przez swojego wystawcę, zwykle z powodu problemu bezpieczeństwa takiego jak skompromitowany klucz prywatny.
Dodałem nową subdomenę i teraz pokazuje to ostrzeżenie. Dlaczego?
Lista SAN istniejącego certyfikatu prawdopodobnie nie zawiera nowej subdomeny. Wystaw certyfikat ponownie, żeby objąć każdą faktycznie używaną nazwę hosta, w tym dowolne nowe subdomeny.
Czy strona logowania Wi-Fi w hotelu albo na lotnisku naprawdę powoduje ostrzeżenie o certyfikacie?
Tak. Captive portal przechwytujący Twoje pierwsze żądanie HTTPS, żeby przekierować Cię na swoją stronę logowania, nie może zaprezentować ważnego certyfikatu dla witryny, do której próbowałeś dotrzeć, więc przeglądarka poprawnie to flaguje. Zalogowanie się do portalu najpierw zwykle to rozwiązuje.