Почему 1 из 8 самоподписанных сертификатов не работает?

Question

Я установил следующие самозаверяющие сертификаты в Mac OS X 10.6.8 и сделал им доверенный доступ к Keychain Access: * .la.com * .la.mx * .la.es * .la.ca * .la.com.ar * .la.co.nz * .la.us * .la.co.uk

Однако по той причине, что я не могу понять сертификат * .la.us, не может быть даже если я выполняю тот же самый процесс при создании и доверяю ему. На самом деле, если я не доверяю, а затем доверяю каждому из сертификатов, которые они работают, и я получаю зеленую блокировку пэдов в Chrome 43.0.2357.132 (64-разрядная версия) «кроме» для * .la.us.

Для * .la.us я получаю:

Ваше соединение не является частным
Злоумышленники могут пытаться украсть вашу личную информацию от www.la.us (например, пароли, сообщения или кредитные карты). NET_ERR_CERT_COMMON_NAME_INVALID

Если я нажимаю на Advanced Я вижу:

Этот сервер не может доказать, что это www.la.us; его сертификат безопасности от * .la.us. Это может быть вызвано неправильной настройкой или атакующем, перехватывающим ваше соединение.

Если я продолжу и нажмите на красную замочком я вижу:

Сертификат сервера не соответствует URL.

Чем он сертификат сервера не соответствует URL, когда он ясно говорит мне, что это www.la.us и сертификат для * .la.us?

Есть что-то особенное в области la.us? Я повторно создал сертификат несколько раз, повторно ввел MAMP Apache virtual conf несколько раз и снова и снова пытался использовать Keychain Access (удаление сертификата между ними). Кто-нибудь думает?

Answer 1

Существуют специальные правила для доменов в пространстве имен .us, и похоже, что Chrome соблюдает эти правила. Из Wikipedia entry for .us:

двухбуквенная домен второго уровня формально зарезервированы для каждого штата США, федеральной территории, и округ Колумбия ....

Эти правила также отражены в public suffix list, где вы найдете специальные записи для la.us, а также различные поддомены, такие как k12.la.us.

Эти специальные правила предполагают, что нет единственного владельца пространства имен *.la.us, и поэтому вы не сможете получить сертификат подстановки для *.la.us.Это похоже на области имен uk и co.uk, где вы не можете получить сертификаты для *.co.uk, но только для *.la.co.uk. Обратите внимание, что не все правила в открытом суффиксном списке используются всеми браузерами для проверки предмета сертификатов.