ต่อไป »

[SeoSport]

ตอนนี้ผมใช้ คีย์ 2048Bit มันไม่รองรับ แอนดรอย ถ้าผมจะเพิ่มเป็น 3072Bit ราคาแพงหรือเปล่า แล้วสามารถเพิ่มใหม่ได้หรือเปล่า

[mastergtx]

csr ของผมก็สร้างจาก  2048Bit ใช้ได้ปกติ Android app webview ก็ดึงผ่าน https ก็ไม่มีปัญหานะ มันเป็นที่ใส่คีย์ ca ผิดหรือเปล่าอ่ะครับ

[NaiTan]

รองรับหรือไม่รองรับมันขึ้นอยู่กับบราวเซอร์ที่คุณใช้นะครับ ไม่ทราบว่าคุณใช้บราวเซอร์อะไรใน Android

คุณลองทดสอบกับบราวเซอบน PC หรือยัง มันใช้งานได้ปกติหรือเปล่า

[icez]

2048bit นี่ key มาตรฐานเลยนะครับ ไม่น่าเกี่ยวว่าต่ำไปเลยทำให้บนบาง os ใช้งานไม่ได้ครับ
+ ความยาว key พวกนี้ไม่ค่อยมีผลเรื่องความเข้ากันได้ครับ มันคือเลขจำนวนเฉพาะ 2 อันคูณกันให้ได้ค่าประมาณเท่านั้นแค่นั้นเอง

[SeoSport]

คือเว็บผมเข้า PC ปกติ แต่ถ้าเข้าผ่าน แอนดรอยด์   มันขึ้น มีปัญหาเกี่ยวกับใบรับรองความปลอดภัยของไซด์นี้

สอบถามตัวแทนจำหน่ายได้คำตอบดังนี้

ssl ตัวนี้ไม่รองรับ sni browser บนแอนดรอยด์ครับ เพราะใช้คีย์ 2048Bit
ถ้าจะให้รองรับแอนดรอยด้วย ต้องซื้อแบบมีคีย์ 3072Bit ซึ่งจะมีราคาแพงกว่าครับ

[AbuseMan]

คือเว็บผมเข้า PC ปกติ แต่ถ้าเข้าผ่าน แอนดรอยด์   มันขึ้น มีปัญหาเกี่ยวกับใบรับรองความปลอดภัยของไซด์นี้

สอบถามตัวแทนจำหน่ายได้คำตอบดังนี้

ssl ตัวนี้ไม่รองรับ sni browser บนแอนดรอยด์ครับ เพราะใช้คีย์ 2048Bit
ถ้าจะให้รองรับแอนดรอยด้วย ต้องซื้อแบบมีคีย์ 3072Bit ซึ่งจะมีราคาแพงกว่าครับ

ไม่ได้ใส่ใส่ Root CA แน่นอนครับอาการแบบนี้

[NaiTan]

เวอร์ชั่นบราวเซอร์ที่คุณใช้ในแอนดรอยไม่รองรับ SNI หรือเปล่า

[icez]

- android ต่ำกว่า 3.0 ไม่รองรับ SNI นะครับ
- ถ้าจะให้เข้าจาก android รุ่นต่ำกว่า 3.0 ได้ ให้ "ซื้อ IP แยก (dedicated ip)" ครับ
- ส่วนไอ้ key length บ้าบออะไรนั่นไม่มีผลเลยครับ แล้วก็ key 2048 / 4096 bit ราคาเท่ากันครับ ยาวเท่าไหร่มันอยู่ที่ตอน gen private key ซึ่งฝั่งคุณเป็นคน gen ครับไม่เกี่ยวกับฝั่งคนออก ssl cert

- หรือถ้า android 3.0 ขึ้นมาแล้วยังเจอปัญหาอยู่ ลองเช็คที่ https://www.ssllabs.com/ssltest/analyze.html ครับ

[SeoSport]

ช่วยดูให้ทีครับตอนนี้คนเข้าเว็บลดลงมาก เพราะเจอการแจ้งเตือน

[icez]

ลองขอ reissue certificate แล้วติดตั้งใหม่ดูก่อนครับ

[NaiTan]

ปัญหาเป็นที่การตั้งค่า mod_ssl ไม่ถูกต้องครับ   

[AbuseMan]

จากที่ดูขั้นแรกต้อง reissue ssl ใหม่ครับจากการเข้ารหัส SHA-1 เป็น SHA-256 ก่อน
ซึ่งจะได้ CA ใหม่ที่เป็น SHA-256 มาด้วย ยกเว้น Root

จากนั้นตั้งค่า nginx ใหม่อ่ะครับปรับหลักๆ ตามนี้

โค๊ด:

# disable SSLv3(enabled by default since nginx 0.8.19) since it's less secure then TLS http://en.wikipedia.org/wiki/Secure_Sockets_Layer#SSL_3.0
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;

# ciphers chosen for forward secrecy and compatibility
# http://blog.ivanristic.com/2013/08/configuring-apache-nginx-and-openssl-for-forward-secrecy.html
ssl_ciphers 'ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES256-GCM-SHA384:kEDH+AESGCM:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-ECDSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-DSS-AES256-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:ECDHE-RSA-RC4-SHA:ECDHE-ECDSA-RC4-SHA:RC4-SHA:HIGH:!aNULL:!eNULL:!EXPORT:!DES:!3DES:!MD5:!PSK';

หากต้องการตั้งค่า Header HSTS ด้วยก็เพิ่มอันนี้ไป

โค๊ด:

add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";

REF : https://scotthelme.co.uk/setting-up-hsts-in-nginx/

ของผมก็เพิ่งไป reissue ใหม่จาก sha1 เป็น sha2 ตามรูปนี้อ่ะคับ