httpsのページがIE 7で表示できません

httpsのページがIE 7で表示できません。

表示できないページは、apache version 2.2系で自分で建てたサーバーです。
オレオレ証明書に使ったopensslのversionは0.9.8e, private keyの鍵長は、
1024でも2048でもだめでした。

また、mozilla firefox 3.0では同様に証明書の警告が出ますが、
例外設定をすることで表示されることを確認しています。

IE 7の現象としては、
"この Web サイトのセキュリティ証明書には問題があります。" - (A)
と警告が出て、閲覧を続行すると
"Internet Explorer ではこのページは表示できません" - (B)
といわれます。

このとき、wiresharkでパケットのダンプを見てみると、
(A), (B)の通信が両方とも以下のようなシーケンスになっていました。
1, client -> server : tcp syn
2, server -> client : syn, ack
3, client -> server : syn
4, client -> server : client hello
5, server -> client : server hello, change cipher spec, Encrypted Handshake message
6, client -> server : change cipher spec, encrypted handshake message
7, client -> server : FIN ACK
8, server -> client : ACK
9, server -> client : encrypted alert
10, server -> client : FIN ACK
11, client -> server : RST ACK
[ client: IE 7 ], [ server: apache22 ]

7の段階でIEからFIN ACKを送っているためページを表示できないのだと思うのですが、
なぜFIN ACKをおくっているのかが分かりません。

問題を解決したいのですが、はまってしまって困っています。
プロトコル・原因の調査方法等々、何か知っていることがありましたらご教授ください。
よろしくお願いいたします。

No.1 ベストアンサー 回答者： yamuhiro 回答日時： 2008/07/23 12:11

こちらのページを見てみるといいかもしれません。

http://support.microsoft.com/kb/931850/ja

参考URL：http://support.microsoft.com/kb/931850/ja

この回答への補足

ありがとうございます。

”Microsoft Windows Small Business Server 2003 (Windows SBS) の自己署名入りの証明書をインストール”
はやっていないですが、
”URL を信頼済みサイトのセキュリティ ゾーンに追加します”
をやってみましたが、結果は変わりませんでした。

書くのを忘れていましたが、自分で建てたサーバー以外をIE7でhttps通信を行っても正しく表示されています。
過去に同じようにオレオレ証明書を作って建てたwebサーバーにhttpsでアクセスしてみたところこちらは表示できました。
証明書の問題かなと思い。差分がないか確認してみましたが、特に差は見つけられませんでした。（見落としているだけかもしれません）
また、オレオレ証明局の証明書を信頼するルートCAに登録すると、
”この Web サイトのセキュリティ証明書には問題があります。”
という警告は出なくなるので、証明書はうまくできているのではないかという気がしています。

他に何かありましたらご教授ください。

補足日時：2008/07/23 16:06

この回答へのお礼

ありがとうございます。
自己解決しました。

証明書を表示して、証明書のパスを見てみると
”この証明機関は証明書を発行する権限がないか、エンドエンティティ証明書として使うことができません。”
とあったためオレオレ証明局の証明書に何か不備があるだろうと思い調べてみたところ、opensslでCAの証明書を作った際に、Subject TypeがEnd Entityになっていることがわかりました。
CA.sh -newcaでCAの証明書作っていたのですが、それではだめだったようです。
opensslでCAの証明書を作る際には、openssl.cnfにてbasicConstraints = CA:trueとしてやることで正しくSubeject typeをCAにできました。
CAでないものから署名を受けたserver証明書だったのでIE 7がTLSセッションでFIN　ACKを送って終了していたということのようです。

お騒がせしました。

お礼日時：2008/07/23 18:05