Проблема с установкой SSL - несоответствие значений ключей (но они совпадают?)

Я также столкнулся с той же ошибкой. В моем случае мне пришлось предоставить дополнительные сертификаты ЦС в цепочке проверки. И вместо того, чтобы предоставлять сертификат и ключ в отдельных файлах, я объединил их в файле .pem.

Однако при этом важен порядок ключа и сертификата, а также промежуточных сертификатов. Правильный порядок:

your private key
your certificate
(intermediate) CA certificate lowest in the hierarchy
other CA certificates higher in the hierarchy...
(intermediate) CA certificate highest in the hierarchy

Недавно у меня была такая же проблема на одном из моих серверов CentOS 6.5, и это было связано с тем, что я сгенерировал KEY и CSR.

У меня есть три сайта, работающих на этом сервере в виртуальных хостах, все с выделенными IP-адресами, и каждый сайт имеет свой собственный SSL-сертификат.

В спешке, меняя один из сертификатов, я по глупости просто следовал руководству поставщика сертификатов, чтобы получить CSR и установить его в Apache, и мне было приказано использовать следующую команду:

openssl req -new -newkey rsa:2048 -nodes -keyout domain-name-here.key -out domain-name-here.csr

После установки нового сертификата я также столкнулся с тем, что Apache не запускается, и те же ошибки в /var/log/httpd/ssl_error_log:

[error] SSL Library Error: 185073780 error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch

[error] Unable to configure RSA server private key

Теперь то, что я действительно должен был сделать, это проверить мои файлы .bash_history, поскольку я уже много раз успешно делал это в CentOS.

Вместо этого я должен был запустить эти две команды:

openssl genrsa -des3 -out domain-name-here.co.uk.key 2048

openssl req -new -key domain-name-here.co.uk.key -out domain-name-here.co.uk.csr

Затем это успешно сгенерировало CSR и KEY, и я повторно подал заявку на сертификат, используя только что полученный CSR, затем применил новый сертификат и добавил новый файл ключа, и, наконец, Apache запустился правильно.

Кроме того, просто отметим, что после небольшой настройки мы получили оценку A+ в лабораторном тесте SSL.

При перевыпуске моего сертификата Rapid SSL (приобретенного через Namecheap) для устранения ошибки Heartbeat новый сертификат всегда выдавался для закрытого ключа, использованного для предыдущего запроса CSR. Примерно после пятого перевыпуска, соединив его с закрытым ключом, использованным в четвертой попытке перевыпуска, все заработало нормально.

убедитесь, что все файлы сертификатов закодированы с использованием ANSI, а не UTF-8.

У меня все тесты говорили: ключ, crt и csr совпадают, но в логах было X509_check_private_key:key values mismatch, пока я не увидел, что один из файлов закодирован в UTF-8.

В моем случае у меня было два сайта и два разных приватных ключа:

nginx: [emerg] SSL_CTX_use_PrivateKey_file("/some/path/server.key") failed (SSL: error:0B080074:x509 certificate routines:X509_check_private_key:key values mismatch)

После того, как я это исправил, сообщение об ошибке изменилось и теперь упоминает /some/path/server.pem. Обратите внимание на другой закрытый ключ, который отличается только расширением файла. У меня было 2 разных сайта, зашифрованных разными ключами (это означает, что я исправил первый сайт, но теперь нужно было исправить второй сайт). Поэтому обязательно внимательно прочитайте сообщение об ошибке!

У нас также была проблема с NameCheap, выданный сертификат совпадал с CSR, который использовался для создания предыдущего CERT. Мы сообщили им через их страницу поддержки, и они сказали, что уже знают об этой проблеме.

Согласно часто задаваемым вопросам на веб-сайте Apache, модуль и общедоступный показатель для сертификата и ключа должны совпадать, чтобы проверка была действительной.

http://httpd.apache.org/docs/2.0/ssl/ssl_faq.html#verify

Как вы и другие уже заявили, работайте с эмитентом сертификата

Самым сложным в моем случае является настройка файла SSLCACertificateFile. После того, как сертификационная компания выпустила наш сертификат, вместе с ним мы получили два дополнительных сертификата: промежуточный и корневой сертификат. Какой из них использовать для SSLCACertificateFile? Обе..

Вот как выглядит моя цепочка сертификатов:

А для SSLCACertificateFile мне нужно объединить digicert_sha2_high_assurance_server_ca.crt и digicert.crt в один файл в указанном порядке.

Похоже, у Dynadot те же проблемы с сертификатами RapidSSL, которые они перевыпускают. Я только что получил нерабочий сертификат, который затем вызвал другую проблему с Apache, когда это было исправлено, я нашел этот вопрос и ответил здесь на исходную проблему, всем спасибо за информацию. Я буду отказываться от сертификата RapidSSL, так как у меня все равно есть проблемы с совместимостью с ним, и вместо этого куплю новый у AlphaSSL.