Certificaat Zyxel router (DX5401-B1) mist SAN velden

Question

Iedere keer als ik op mijn Zyxel modem inlog moet ik het wachtwoord opzoeken en invoeren, omdat de browser dit niet wil onthouden. Dit is omdat de browser (Chrome) het certificaat van de router als untrusted ziet (CN klopt niet & onbekende issuer). De CN is “ZyXELcert” maar ook al zet ik deze in mijn hosts file, werkt het niet, want het SAN veld is leeg..

Omdat het SAN veld leeg is, werkt het niet in Chrome om het cert te importeren in je eigen local cert store van de browser. Blijkbaar is dit een vereiste van Chrome (in mijn geval Brave maar dat is dezelfde engine).

Ik kan dit niet zelf oplossen, want het lijkt niet mogelijk te zijn zelf opnieuw een certificaat te genereren waarin wel de juiste gegevens zijn opgenomen.

SAN zou bijvoorbeeld het IP adres van de router kunnen bevatten, dat zou (volgens mij) al genoeg zijn, maar je zou natuurlijk ook kunnen denken aan een eigen opgegeven hostname voor de router voor de mensen die misschien op hun eigen LAN ook een resolver hebben staan.

Als ik het cert parse:

`Common Name: ZyXELcert`

`Subject Alternative Names:`

`Organization: ZyXEL`

`Organization Unit: ZyXELcert`

`Locality:`

`State: TWN`

`Country: TW`

`Valid From: January 1, 2015`

`Valid To: January 1, 2035`

`Issuer: ZyXELcert, ZyXEL`

`Serial Number: 9ed9a4241ada2e0f7aea7b88089734dbe9525f`

Ik heb ook een proxmox server als speelbak staan, het cert wat hierop staat is ook self-signed, maar bevat wel de nodige info:

`Common Name: pve.lan`

`Subject Alternative Names: IP Address:127.0.0.1, IP Address:0:0:0:0:0:0:0:1, localhost, IP Address:192.168.1.11, pve, pve.lan`

`Organization: Proxmox Virtual Environment`

`Organization Unit: PVE Cluster Node`

`Locality:`

`State:`

`Country:`

`Valid From: March 24, 2024`

`Valid To: March 24, 2026`

`Issuer: Proxmox Virtual Environment, PVE Cluster Manager CA`

`Serial Number: 1 (0x1)`

Het gaat dan natuurlijk om de “Subject Alternative Names”, waarin de hostname is opgenomen evenals het IP adres (192.168.1.11 in dit geval), dus we hebben nu zelfs opties om het goed te laten werken in Chrome.

Is hier een oplossing voor te bedenken?

Tommie van Odido · Accepted Answer

Hey ​@frijsdijk, goede en scherpe analyse, dit heb je technisch helemaal juist uitgeplozen!Ik zal proberen het helder samen te vatten én meteen duidelijk te zijn over wat wel en niet mogelijk is. Waarom dit gebeurt: De Zyxel modems gebruiken een vast, door Zyxel zelf gegenereerd self-signed certificaat (ZyXELcert). Dit certificaat:heeft geen Subject Alternative Name (SAN).gebruikt een generieke Common Name.is niet vervangbaar door de gebruiker.Vanaf Chrome/Chromium (en dus ook Brave, Edge, etc.) is een SAN verplicht. Zonder SAN wordt het certificaat:altijd als “untrusted” gezien.genegeerd door de password manager.niet bruikbaar, zelfs niet als je het handmatig importeert of een hosts-entry toevoegt.Je observatie klopt dus volledig:“CN-only certs zonder SAN worden door Chrome simpelweg geweigerd.”Firefox is hierin soepeler,daarom onthoudt die het wachtwoord soms wel. Dit kun je echter niet zelf oplossen, dat ligt niet aan jouw kennis maar aan de firmware van Zyxel. Je kunt namelijk geen eigen certificaat uploaden of genereren, geen SAN toevoegen, geen hostname instellen die ook in TLS gebruikt wordt en je kan geen Cert vervangen via CLI door beperkte toegang. Dit zullen we in de toekomst ook niet wijzigen. De makkelijkste optie in dit geval is om een Password Manager te gebruiken zoals Bitwarden of 1Password. Externe Password Managers zijn niet afhankelijk van TLS-validatie. Dit werkt ook in Chrome en Brave!

frijsdijk · Answer

Hoi Tommie, dank voor je uitgebreide antwoord, dat stel ik op prijs.

Ik ben er helaas niet mee geholpen, maar daar was ik al bang voor. Het is waarschijnlijk niet erg zinvol, maar ik doe toch een poging om jullie te vragen om als klant en afnemer van Zyxel routers, Zyxel te motiveren om dit in toekomstige modellen op zijn minst beter te maken. Ik bedoel, er zijn legio producten die het, ondanks dat ze zelfs gratis zijn (dus een geldkwestie hoeft het niet te zijn), beter doen dan dit.

Common Name: ZyXELcert

Subject Alternative Names:

Organization: ZyXEL

Organization Unit: ZyXELcert

Locality:

State: TWN

Country: TW

Valid From: January 1, 2015

Valid To: January 1, 2035

Issuer: ZyXELcert, ZyXEL

Serial Number: 9ed9a4241ada2e0f7aea7b88089734dbe9525f

Common Name: pve.lan

Subject Alternative Names: IP Address:127.0.0.1, IP Address:0:0:0:0:0:0:0:1, localhost, IP Address:192.168.1.11, pve, pve.lan

Organization: Proxmox Virtual Environment

Organization Unit: PVE Cluster Node

Locality:

State:

Country:

Valid From: March 24, 2024

Valid To: March 24, 2026

Issuer: Proxmox Virtual Environment, PVE Cluster Manager CA

Serial Number: 1 (0x1)

Niet gevonden wat je zocht?

Meld je aan

Welkom

`Common Name: ZyXELcert`

`Subject Alternative Names:`

`Organization: ZyXEL`

`Organization Unit: ZyXELcert`

`Locality:`

`State: TWN`

`Country: TW`

`Valid From: January 1, 2015`

`Valid To: January 1, 2035`

`Issuer: ZyXELcert, ZyXEL`

`Serial Number: 9ed9a4241ada2e0f7aea7b88089734dbe9525f`

`Common Name: pve.lan`

`Subject Alternative Names: IP Address:127.0.0.1, IP Address:0:0:0:0:0:0:0:1, localhost, IP Address:192.168.1.11, pve, pve.lan`

`Organization: Proxmox Virtual Environment`

`Organization Unit: PVE Cluster Node`

`Locality:`

`State:`

`Country:`

`Valid From: March 24, 2024`

`Valid To: March 24, 2026`

`Issuer: Proxmox Virtual Environment, PVE Cluster Manager CA`

`Serial Number: 1 (0x1)`