Chrome 45 https 在一些网站上标记为红色

[sotilsy]

Google Chrome 版本 45.0.2454.7 dev (64-bit)
OS X El Capitan 版本 10.11 Beta (15A215h)

---

打开 https://www.wikipedia.org/（使用海外代理），https 显示为红色。

打开 https://httpd.apache.org/（未使用海外代理），https 同样显示为红色。所有资源的 Request URL 均是 https:// 开头。

打开 https://www.v2ex.com（使用海外代理），https 显示如图。

在 Safari 版本 9.0 (11601.1.37.1) 「开发」菜单开启反白选项，Wikipedia 可以正常打开。

---

所以这到底算是一个 Bug？网络问题？还是新版本系统／Chrome／两者之间的不兼容问题呢？

[sneezry]

楼主的截图里已经有答案了，Chrome解释得很清楚 :D

[sotilsy]

@sneezry

然而此前从来没有这样的问题。

我现在的疑问是：
1. 这是个别现象还是普遍现象？
2. 是由于安装了 El Capitan 的缘故吗？还是说最近 GFW 升级了会给所有的 https 站点降低安全性？（但第二张截图似乎否认了这一点…）

[SkyLanD]

可能是 El Capitan 的原因，我升级后很多网站的 HTTPS 都是红 X 了，包括知名网站…

[AirSc]

楼主用什么截图的，我每次都达不到这种效果。

[wy315700]

chrome已经解释的很清楚了 因为用了SHA-1的签名

[sotilsy]

@AirSc 请 Google「OS X 屏幕快照 site:apple.com」。

[tension]

我已经遇到好几次这样的问题了！

Chrome 把 2016年 以前到期的证书标注为 黄色小三角

把 2017 年及以后 到期的证书标注为 红色。。。

我已经经过测试！

不信看看百度的证书到期时间，有些 显示绿色的 证书都是在2015年以前的。

[tension]

@AirSc command + Shift + 4

然后按空格

[sotilsy]

@tension

有此可能。现在打开 Google 页面提示的证书是在「2015年9月29日 星期二 中国标准时间 上午8:00:00」过期的，https 绿色。

那为什么 Chrome 提示的是：

>「此网站的证书链包含至少一个使用基于 SHA-1 的过时签名算法进行签名的证书。」

我有些想不通。

[Rorysky]

搭楼问下，有没有 可以 同步 打开页面的 chrome 扩展？

目前用 session buddy，但没有在不同 pc 间 同步的功能

[rainy3636]

chrome://flags/#mark-non-secure-as

[dndx]

http://googleonlinesecurity.blogspot.com/2014/09/gradually-sunsetting-sha-1.html

[tension]

@sotilsy 只要2016年前的都可以，我颁发了一个3个月有效的证书，就显示绿色的！

Google 是9月证书到期，百度是12月30日到期



正常的！

[xierch]

「此网站使用了安全系数较低的安全配置（SHA-1 签名），因此您的连接可能不具有私密性。」

这是网站服务器那边的配置问题，你不要想太多..
以前没有这个问题，是因为那时候 SHA-1 还被认为是安全的...
几个月前的新闻有预告过这项变更，V2EX 上也是有讨论的，你可以搜一下…

[xierch]

哦，还有一个问题
这几个网站我这边开都是 SHA-256 的证书
所以楼主那为啥会有 SHA-1 呢？

[sotilsy]

@xierch

正文截图 3：

> 此网站的身份已通过了AlphaSSL CA - SHA256 - G2的验证。服务器未提供任何 Certificate Transparency 信息。

所以其实是 SHA-256 的证书。@dndx 链接里似乎有提到：

> Sites with end-entity certificates that expire between 1 January 2016 and 31 December 2016 (inclusive), and which include a SHA-1-based signature as part of the certificate chain, will be treated as “secure, but with minor errors”.
> Sites with end-entity certificates that expire on or after 1 January 2017, and which include a SHA-1-based signature as part of the certificate chain, will be treated as “affirmatively insecure”. Subresources from such domain will be treated as “active mixed content”.

两条满足一条大概就会满足警告条件 — Google 很会玩…




… 哦天哪我怎么还没睡呢

[Citrus]

楼主有点不关心谷歌也，这个事情可是很早很早就预告了哦！现在正式实施也挺好的，避免 SHA1 证书带来的安全问题，督促网站更换证书。

[Quaintjade]

记得维基以前用的是digicert的证书。
这ecdsa且由globalsign颁发的证书，难道是cloudflare的CDN?

[letitbesqzr]

[AirSc]

@sotilsy
@tension 谢谢。