Chrome 45 https 在一些网站上标记为红色

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

这是一个创建于 3414 天前的主题，其中的信息可能已经有所发展或是发生改变。

Google Chrome 版本 45.0.2454.7 dev (64-bit)
OS X El Capitan 版本 10.11 Beta (15A215h)

打开 https://www.wikipedia.org/（使用海外代理），https 显示为红色。

打开 https://httpd.apache.org/（未使用海外代理），https 同样显示为红色。所有资源的 Request URL 均是 https:// 开头。

打开 https://www.v2ex.com（使用海外代理），https 显示如图。

在 Safari 版本 9.0 (11601.1.37.1) 「开发」菜单开启反白选项，Wikipedia 可以正常打开。

所以这到底算是一个 Bug？网络问题？还是新版本系统／Chrome／两者之间的不兼容问题呢？

／chrome／

15a215h

版本

21 条回复 • 2015-07-25 00:22:58 +08:00

sneezry

2015-07-20 23:39:08 +08:00 via iPhone

楼主的截图里已经有答案了，Chrome解释得很清楚 :D

sotilsy

2015-07-20 23:46:55 +08:00

@sneezry

然而此前从来没有这样的问题。

我现在的疑问是：
1. 这是个别现象还是普遍现象？
2. 是由于安装了 El Capitan 的缘故吗？还是说最近 GFW 升级了会给所有的 https 站点降低安全性？（但第二张截图似乎否认了这一点…）

SkyLanD

2015-07-20 23:49:09 +08:00

可能是 El Capitan 的原因，我升级后很多网站的 HTTPS 都是红 X 了，包括知名网站…

AirSc

2015-07-21 00:17:10 +08:00 via Android

楼主用什么截图的，我每次都达不到这种效果。

wy315700

2015-07-21 00:23:35 +08:00

chrome已经解释的很清楚了因为用了SHA-1的签名

sotilsy

2015-07-21 00:27:02 +08:00

@AirSc 请 Google「OS X 屏幕快照 site:apple.com」。

tension

2015-07-21 00:28:58 +08:00

我已经遇到好几次这样的问题了！

Chrome 把 2016年以前到期的证书标注为黄色小三角

把 2017 年及以后到期的证书标注为红色。。。

我已经经过测试！

不信看看百度的证书到期时间，有些显示绿色的证书都是在2015年以前的。

tension

2015-07-21 00:32:53 +08:00

@AirSc command + Shift + 4

然后按空格

sotilsy

2015-07-21 00:36:13 +08:00

@tension

有此可能。现在打开 Google 页面提示的证书是在「2015年9月29日星期二中国标准时间上午8:00:00」过期的，https 绿色。

那为什么 Chrome 提示的是：

>「此网站的证书链包含至少一个使用基于 SHA-1 的过时签名算法进行签名的证书。」

我有些想不通。

Rorysky

2015-07-21 00:41:05 +08:00

搭楼问下，有没有可以同步打开页面的 chrome 扩展？

目前用 session buddy，但没有在不同 pc 间同步的功能

rainy3636

2015-07-21 01:05:19 +08:00

chrome://flags/#mark-non-secure-as

dndx

2015-07-21 01:23:07 +08:00

http://googleonlinesecurity.blogspot.com/2014/09/gradually-sunsetting-sha-1.html

tension

2015-07-21 02:39:59 +08:00

@sotilsy 只要2016年前的都可以，我颁发了一个3个月有效的证书，就显示绿色的！

Google 是9月证书到期，百度是12月30日到期

正常的！

xierch

2015-07-21 03:02:01 +08:00

「此网站使用了安全系数较低的安全配置（SHA-1 签名），因此您的连接可能不具有私密性。」

这是网站服务器那边的配置问题，你不要想太多..
以前没有这个问题，是因为那时候 SHA-1 还被认为是安全的...
几个月前的新闻有预告过这项变更，V2EX 上也是有讨论的，你可以搜一下…

xierch

2015-07-21 03:06:30 +08:00

哦，还有一个问题
这几个网站我这边开都是 SHA-256 的证书
所以楼主那为啥会有 SHA-1 呢？

sotilsy

2015-07-21 03:17:24 +08:00

@xierch

正文截图 3：

> 此网站的身份已通过了AlphaSSL CA - SHA256 - G2的验证。服务器未提供任何 Certificate Transparency 信息。

所以其实是 SHA-256 的证书。@dndx 链接里似乎有提到：

> Sites with end-entity certificates that expire between 1 January 2016 and 31 December 2016 (inclusive), and which include a SHA-1-based signature as part of the certificate chain, will be treated as “secure, but with minor errors”.
> Sites with end-entity certificates that expire on or after 1 January 2017, and which include a SHA-1-based signature as part of the certificate chain, will be treated as “affirmatively insecure”. Subresources from such domain will be treated as “active mixed content”.

两条满足一条大概就会满足警告条件 — Google 很会玩…

… 哦天哪我怎么还没睡呢