以前、「今どき、ホームページも暗号化するのがセキュリティ・トレンド!?」でも書いたのだが、私が取得しているドメインの”tciskfactory.com”(←前号ドメイン) は、全ページを常時SSL化している。
このSSLは、GeoTrust社が提供するRapidSSLを利用している。RapidSSLは、アメリカの老舗会社で比較的知名度もあり、おまけに安価だ。適応するサーバも多く、お手軽で便利なSSLといえる。・・・のだが、この度、不可解な問題に直面した。
先日、私の事業の新たなWebサイトを起ち上げ、ドメイン配下にデータを配置した。”tciskfactory.com”配下なので、上述通りこのサイトへのアクセスも、SSL接続となる。だが、なぜかこのサイトへのアクセスが、Android OSデバイスだけセキュリティ・エラーとなる症状が現れた。
PC (Windows、Mac、Ubuntu、CentOS、Redhat)はすべて問題なし。iPad、iPhoneも大丈夫。だが、 Nexus 7をはじめ、Android OSで動くデバイス類はすべてNG。SSL接続しようとすると、一旦停められてワーニングメッセージが表示される。そのメッセージ内容が、「この先に進むと、クレジットカード情報などが盗み取られる危険性もあります・・・」的なことが書かれていて、穏やかでない。何とかしなければ。。。
今日一日、悩みまくった。リダイレクト関連やHTTPS関連で、思いつくキーワードを、サイト内のコードすべてに検索をかけ、洗いざらい調べつくした。が、何もおかしなところはない。Android OSだけに出る症状ということで、ウェブサーバ側か？と、ググってたら、見つけた！
– GeoTrust SSL certificate on Android not trusted
– RapidSSL and Geotrust Certificate not trusted on mobile device
これこれ、まさにこれだ！
「ルート証明書が2048Bitに変更になったことで、新たに中間CA証明書とクロスルート証明書をインストールしてAndroid OSに対応させる」ということだ。
ってことで、 さっそく新しい証明書をApacheサーバに適用。すんなりと治った。
以前問題になったHeartbleedもそうだが、それにしてもややこしい、SSLは。。。
参考までに、RaipdSSLのAndroid OS対応新ルート証明書はこちら
– Apache, Plesk & CPanel用
– Microsoft IIS & Tomcat用
（上が中間CA証明書で、下がクロスルート証明書）
Comment