网页数字证书问题

[wstl]

如图：

当打开此网页时某些用户总是有如下图所示的数字证书出错信息：


数字证书的详细情况如下：


而有的用户打开这个网页时没有错误，于是把该电脑上的根数字证书 GTE CyberTrust Global Root 输出移植到出错的电脑，但是报错信息仍然存在。

另外尝试了很多办法都没有把报错信息去掉。请大侠们支招。

[wdqin]

Are you workign for USPS, otherwise call them to inform them the issue.

[wstl]

作者: wdqin

Are you workign for USPS, otherwise call them to inform them the issue.

I am not working for USPS.

I called them, and one lady who claimed she is working as the website tech support told me that I need to lower down the IE security settings or add this website to the Trusted Zone.

Even I did this on a test machine, I couldn't get rid of the error message.

[wdqin]

作者: wstl

I am not working for USPS.

I called them, and one lady who claimed she is working as the website tech support told me that I need to lower down the...

I try both window7 IE9 and XP IE8 without issue, is your PCs patched up to date?

[dpff]

You need to export "GTE CyberTrust Global Root" into a .cer file and import it into other machine's "Trusted Root Certification Authorities". Also be aware that web browsers like Firefox and Opera has their own root certification store and they have to be imported manually.

[wstl]

作者: wdqin

I try both window7 IE9 and XP IE8 without issue, is your PCs patched up to date?

Thank you Wdqin.

The PCs haven't been patched up for a while, they are managed by WSUS in group policy, this might be the cause.

I will try to patch up a test machine and see if the certificate works.

[wstl]

Patching up the OS( Windows 7) resolved the issue.

[wstl]

再次更新一下这一问题的新发现。

现在发现这一问题不是Windows UPdate造成的，但是找到了解决的办法：
1.把电脑从domain中换到workgroup中。
2.重启电脑，用本地管理员登录。
3.打开IE, 打开www.usps.com网页，这时不会出现如图所示的错误信息。
4. 再次将电脑加入Domain, 问题就解决了。
曾经试过省略步骤3，结果问题还是存在，说明步骤3很关键，但不知道为什么。

希望高人指点。

[opensource]

作者: wstl

再次更新一下这一问题的新发现。

现在发现这一问题不是Windows UPdate造成的，但是找到了解决的办法：
1.把电脑从domain中换到workgroup中。
2.重启电脑，用本地管理员登录。
3.打开IE, 打开www.usps.com网页，这时不会出现如图所示的错误信息。
4...

你之前提到过域内有的可以，有的不行；再加上退域和进域。可能是你的GPO有问题,也可能win32time时间同步有问题。跑下 w32time /monitor。脚痛可能不是脚有毛病。
辅助的DC上的时间源一般指到主DC，主dc的时间源指到internet上的一个时间源。看你的时间同步是怎么设置的。好多地方的dc的时间源都指向一个外部。有可能这个外部的不工作了，过一段时间就有些不同步了（机会有1/3的外部时间源是ping不到的）。仅供参考，俺不是高人。

[wdqin]

作者: wstl

再次更新一下这一问题的新发现。

现在发现这一问题不是Windows UPdate造成的，但是找到了解决的办法：
1.把电脑从domain中换到workgroup中。
2.重启电脑，用本地管理员登录。
3.打开IE, 打开www.usps.com网页，这时不会出现如图所示的错误信息。
4...

在domain的时候用的是什么account？domain admin还是local admin，抑或是domain user？用domain administrator account试试。

[wstl]

作者: wdqin

在domain的时候用的是什么account？domain admin还是local admin，抑或是domain user？用domain administrator account试试。

跟user account没有关系。

[wdqin]

作者: wstl

跟user account没有关系。

我觉得跟user account的权限有关系，搞得跟病毒似的。

[wstl]

作者: wdqin

我觉得跟user account的权限有关系，搞得跟病毒似的。

Domain user, Local Admin 和Domain Admin这三种account都试过了，不管用。
最近发现很多根数字证书（Trusted Root Certificate) 在Windows 7 Professional中都没有安装，要手动安装才行，连Verisign, Entrust这些著名的根数字证书都要手动安装，以前的XP没有这个问题，不知微软捣的什么鬼。

[opensource]

我的domain windows 7没有任何问题。用WSUS，要开80、443。 问题有点清晰了，肯定是卡在一个地方了。也许你的domain win 7 firewall under control by gpo, so it is work after get out from domain. Hare u try disable firewall in domain.
再看看kb931125，对照一下要求

[wstl]

作者: opensource

我的domain windows 7没有任何问题。用WSUS，要开80、443。 问题有点清晰了，肯定是卡在一个地方了。也许你的domain win 7 firewall under control by gpo, so it is work after get out from domain. H...

您可能误解了我回贴的意思了。

WSUS是工作的，只不过根据领导的意思，我还没有正式approve最近一段时间的updates。这个问题肯定跟group policy有关，但是究竟在哪里又说不上。

用“Turn off Pop-up blocker"能够去掉图示的警告信息，这难道是最终的解决办法吗？

[opensource]

GPO有问题比较麻烦。实在搞不定的话，花３００刀找微软把。

[Cisco]

这个还是certificate的问题。
1. 楼主可以在这里查一下server的certificate，http://www.sslshopper.com/ssl-checke...e=www.usps.com，你会发现这个server有两个certificate，一个是server的certficiate，issuer是Akamai Subordinate CA 3，第二个chain的certficiate 是Akamai Subordinate CA 3，issuer是GTE CyberTrust Global Root，如果电脑里没有root的GTE CyberTrust Global Root和intermediate的Akamai Subordinate CA 3 的certificate，就会出错。

2. 楼主可以去这里查这个网站的ssl设置，https://www.ssllabs.com/ssldb/index.html，
你会发现http://www.upus.com会被redirect到其他serv...��个问题。
不过我觉得你缺少1的certificate的可能性比较大。

[懒人懒]

楼上正解。不过我觉得缺根证书的可能性不大，很可能是中间证书没有。

我也碰到过这种情况，好像是2011年开始出现了。原因由于证书加密要求提高，很多发布证书的公司启用了新intermediate certificate authority，用于连接从根证书到新证书的中间证书，新证书都是基于这些新intermediate ca的。很多浏览器如果不升级，就没有这些intermediate ca证书，所以碰到新证书，就出错。

最根本的解决办法当时是让ups的网站管理员知道，他们的证书没有正确安装中间证书。正确的办法是在安装新证书时，要把中间证书也装到Web服务器上，形成一个证书链。只要用户一访问，不仅能根据证书链直到自己浏览器里的根证书，还能自动在浏览器里加进中间证书。以后再浏览其它没装中间证书的网站也不会有问题。

你如果无法让ups的网管解决问题，你可以用类似的办法让你的用户自己装上中间证书。你要找一个已经正确安装中间证书（akamai subordinate CA3) 的网页，让你的用户去访问一下，中间证书就自动安装了。

验证我这个办法的方法是找一台有问题的电脑，打开ups.com的网页，看看证书，是否有akamai subordinate CA3。如果没有，就说明中间证书缺失。

[wstl]

作者: 懒人懒

楼上正解。不过我觉得缺根证书的可能性不大，很可能是中间证书没有。

我也碰到过这种情况，好像是2011年开始出现了。原因由于证书加密要求提高，很多发布证书的公司启用了新intermediate certificate authority，用于连接从根证书到新证书的中间证书，新证书都是基于这些新int...

谢谢楼上两位。
现在终于明白了造成这个问题的原因了。
当电脑在域中的时候Group policy阻止了中间根证书的安装，而在workgroup时中间证书能够顺利地被安装上。
解决的办法是下载、安装中间根证书。

[opensource]

作者: 懒人懒

楼上正解。不过我觉得缺根证书的可能性不大，很可能是中间证书没有。

我也碰到过这种情况，好像是2011年开始出现了。原因由于证书加密要求提高，很多发布证书的公司启用了新intermediate certificate authority，用于连接从根证书到新证书的中间证书，新证书都是基于这些新int...

高手，高高手！能推荐一点好关于证书的资源吗，想深入学习。