Chrome: jak přeskočit hlášku „hodiny jdou napřed“

[Ħαℓ₸℮ℵ ␏⫢ ⦚]

Na určitých serverech mi chrome vyhazuje hlášku "Vaše hodiny jdou napřed", i když to není pravda a je to chyba na straně serveru. Tyto stránky bych si chtěl přečíst, jenže zde i po kliknutí na Rozšířené není možnost "Pokračovat"(jako v případě jiné chyby jako nesoulad servername a domény a navíc se ani neukáží detaily).

 curl s parametrem -k s tím nemá problém. Web neběží na portu 80, což bych přijal jako workaround býval mýval

Jakým způsobem v chrom(i)u se tedy na stránku dostanu ? Nechci si pokusně měnit čas v systému.
Nezkoumal jsem, jak je to v ostatních browserech... Rozumím, že pro správnou funkci PKI je  kritický čas pro srování platnosti certifikátu


PS: čím by to daná chyba mohla být způsobena? Nabízí se prostě, že je tam starý certifikát po expiraci, ale to si myslím, že by ukazovalo jinou hlášku. ... Tak podle všeho jde o expirovaný.

[Reklama]

[Tonda]

Příklady takových webů?

[Ħαℓ₸℮ℵ ␏⫢ ⦚]

Expired.badssl.com (err.cert.date.invalid)
Paradox : v chromu 80 to ještě nabídne pokračovat, v nové verzi je to posané výšhe

(Ale u chyby err.cert common name invalid (=jiná doména než vypálena v cerfifikátu) jde pokračovat , nechápu logiku, proč v jedné chybě ta nožnost je a v druhe není)

[Filip Jirsák]

Takže je to expirovaný certifikát. Což musí být z názvu jasné i vám. Jinak web badssl.com je určen pro odborníky, když nevíte, k čemu slouží, tak tam nelezte.

[Ħαℓ₸℮ℵ ␏⫢ ⦚]

Vypadá to ,že máte dnes špatnou náladu, tak snad ti zlepší náladu vtip "Why was the computer late to work? It had a hard drive to work."

Speciální příklad pro Jirsáka, jak to vypadá: https://verizon-global-root-ca-expired.chain-demos.digicert.com/
Speciální příklad pro Jirsáka, jak chci, aby to vypadlo https://nazkouskuneexistujicisubdomena.maxiorel.cz/
Jde mi jen o to tlačítko Pokračovat

Speciálně pro Jirsáka přikládám screenshoty . Už z <TITLE> tabu je zřejmé, že ta hláška je uplně mimo: hodiny mi jdou dobře a vdruhym případě jde jen o nějakou dočasnou chybu certifikátu. Ale to tom jsem polemizovat vůbec nechtěl, Chtěl jsem radu, jak pokračovat na tento web, který vlivem chyby  zaspivšího webmástra a autorů nové verze chrome nejde zobrazit. Se asi nějak nový elév rozhodl, že tlačítko Pokračovat v jednom případě odebere a vdruhym ho nechá, i když to nedává smysl.

Je jedno, že se podařilo najít konkrétní chybovou hlášku, tím spíš ,že to je chyba typu webmaster was late to work . He had a certificate to work on.
Jenom jsem poznamenal pro ilustraci, že z nějakého prapodivného důvodu to tlačítko pokračovat tam jest v případě certifikátu vydaného na jinou doménu než zadanou. Když o tom přemýšlím, to je častější vektor útoku  hackera, který udělá HTTPS MITM , že prostě nahradí certifikát jiným. Proč by tam dával expirovaný certifikát? Pokud by ho vůbec sehnal.


Pro pořádek: uvolňuju podmínku , že musí nesmí běžet na portu 80, stačí i když bouřlivě redirectuje
na Location: ${adresa/http:/https:} - výsledek je pak stejný

[Reklama]

[Filip Jirsák]

Vypadá to ,že máte dnes špatnou náladu

Špatnou náladu mám z toho, že tady na fóru nelze blokovat uživatele, kteří se notoricky ptají na hlouposti a hloupě, například vás. To, že k zodpovězení vašeho dotazu bude potřeba vědět, o jakou adresu jde, to dojde úplně každému, jenom vám ne. Takže si ten dotaz musí desítky lidí přečíst, prokousat se vašimi rádobyvtipnými větami (které akorát zakrývají to, že vůbec netušíte, o čem píšete), aby to v průběhu vzdali, že takovou slátaninou se zabývat nebudou. Načež se nad vámi někdo smiluje a zeptá se na to, co mělo být hned v první větě vašeho komentáře – o jaký web se jedná?

Už z <TITLE> tabu je zřejmé, že ta hláška je uplně mimo: hodiny mi jdou dobře

Chrome ale nemůže vědět, že vám jdou hodiny dobře. Naopak, pokud narazí na propadlý certifikát, je jedna z pravděpodobných možností, že vám jdou na počítači špatně hodiny. Další možnost je, že provozovatel serveru nechal certifikát expirovat – s tím ale uživatel stejně nic neudělá. Takže jediné rozumné, co se dá udělat, je doporučit uživateli, aby si zkontroloval, že mu nejdou špatně hodiny na počítači.

vdruhym případě jde jen o nějakou dočasnou chybu certifikátu

To není žádná dočasná chyba certifikátu, to je prostě certifikát, který k danému webu nepatří.

Chtěl jsem radu, jak pokračovat na tento web, který vlivem chyby  zaspivšího webmástra a autorů nové verze chrome nejde zobrazit.

Nijak. Právě proto se ta chyba zobrazuje, aby se uživatelé na stránku nedostali.

Když o tom přemýšlím, to je častější vektor útoku  hackera, který udělá HTTPS MITM , že prostě nahradí certifikát jiným. Proč by tam dával expirovaný certifikát? Pokud by ho vůbec sehnal.

Vy o tom radši ani nepřemýšlejte. (Důvod, proč se odmítají expirované certifikáty, je celkem jednoduchý.) Radši přemýšlejte nad tím, co uděláte pro to, aby vaše dotazy tady nebyly notoricky hloupé a nevypadalo to, že si pole pro zadání dotazu pletete s vyhledávacím políčkem Googlu.

Pro pořádek: uvolňuju podmínku , že musí nesmí běžet na portu 80

Co kdybyste si to po sobě alespoň přečetl? Napsal jste tu dvě věty o portu 80 (v prvním dotazu a teď), a žádná z nich nedává smysl.

[Ħαℓ₸℮ℵ ␏⫢ ⦚]

Prvotní dotaz byl úplně jednoduchý, stýskalo se mi po tlačítku Pokračovat , když chrome narazí na nějakou chybu kolem zabezpečení. Přičemž v kontrastu s jinými chybami HTTPS tam to tlačítko je. Taky jsem nezkoumal co je to přesně za chybu. Nepovažoval jsem to za relevantní pro cíl dotazu: zobrazit HTML stránku, když je nějaký problém s HTTPS. Až pak jsem zjistil, že tuto stránku technicky lze otevřít nejen přes curl, Firefox a dokonce starší verzi chromu.  Takže že jde jen umělé upozornění , i když správné, aby si uživatel dal pozor, ale až v nové verzi chromu se z toho stalo omezení.

Ano,  chrome nemůže vědět, jestli hodiny jdu špatně mě nebo jdou špatně serveru. Proto by měla být možnost Pokračovat, když hodím voko na digitálky a na lištu vpravo dole a zjistim, že u mě dobrý.

Zvolil jsem špatný příklad, protože nemám čas hledat 10 minut hledat vypilovanou doménu, který přesně demostruje co chci,  ale slouží to jen jako demonstrace, že v případěj jiné chyby tam tlačítko Pokračovat je. A ono jde skutečně o dočasnou chybu, v 50% případech se to načte dobře. Ale ty příklady už tady zazněly https://druhypokusnazkouskuneexistujicisubdomena.maxiorel.cz/
Jde mi jen o to tlačítko Pokračovat

Nijak. Právě proto se ta chyba zobrazuje, aby se uživatelé na stránku nedostali.
A já se právě na tu stránku chci dostat.

To je právě ono - já se na tu stránku chci dostat. Jelikož jsem odborník, tak tam nebudu zadávat čísla kreditních karet a hesla., Jenom se ho chci přečíst
Je snad zločin prohlédnout si stránku přes HTTP nebo s expirovaným certifikátem ¿

Stať o portu jsem 80 jsem uváděl proto, aby mi nikdo neradil, že mám zkusit si ten web otevřít "na adrese HTTP místo HTTPS".  Když tam neběží. Což by byl workaround, když se něco s HTTPS podělá. Přemýšlím dopředu.

[Tomas-T]

Ve Win verzi Chromu (verze 121) "tlačítko" pokračovat u expirovaného certifikátu vidím.

[Tonda]

Normální expirovaný certifikát, u mě to vypadá takto: Chrome / FF, aktuální verze, windows 10

[Zopper]

Takže celé to zmatené povídání o portu 80 a jak je/není důležitý, se dá nahradit za "počítejme s https-only serverem?" Stačilo to napsat takhle polopaticky a bylo by to jasné. On totiž port 80, byť se běžně používá pro http protokol, je jen port 80 a co si na něm kdo pustí je čistě jeho věc. Klidně tam může běžet https, ssh, nějaká VPN... A když se explicitně zmiňuje port a ne protokol, tak v tom už lidi hledají nějakou složitost s přesměrováním nebo forwardováním portů, která tu vůbec nedává smysl.

Chrome jako prohlížeč pro BFU a jako ten, kdo schytá od BFU obvinění, že se přes něj nakazili, prostě agresivně blokuje, co se mu nezdá, a ostatní Chromium projekty to většinou přebírají. A často to má pozitivní přínos, když to donutí správce serverů k tomu, co měli udělat už dávno, ale bylo jim to u zadnice, protože přece stačí kliknout na "pokračovat".

Odborník jistě nebude mít problém zkusit, co dělá Firefox jako poslední velký ne-chromiový prohlížeč mimo jablečný svět, dřív, než vytvoří další diskuzní vlákno. Nebo si projít flags v tom Chrome, a podívat se na ssl-related volby. Nebo si přesměrovat provoz přes lokální (třeba ssh) proxy, aby si prohlížeč myslel, že se baví s localhostem a aplikoval mírnější pravidla. Nebo si stáhnout tu stránku přes curl/wget a prostě si ji prohlédnout staticky. Nebo to všechno nějak nakombinovat. Nebo vymyslet ještě dalších X možností.

(Ne, nejsem Jirsák, jen s ním tady naprosto souhlasím.  )

[Tonda]

Zkusil jsem to i na Ubuntu 23.10 na Virtuále a i tam mi to dává chybu "Your connection is not private" a nikoliv "Your clock is ahead". Takže něco je pošahanýho na tvým počítači.

[Filip Jirsák]

Prvotní dotaz byl úplně jednoduchý, stýskalo se mi po tlačítku Pokračovat

Takže to nebyl dotaz. Na nic jste se neptal, jen jste si chtěl postěžovat.

Proto by měla být možnost Pokračovat, když hodím voko na digitálky a na lištu vpravo dole a zjistim, že u mě dobrý.

Právě proto tam to tlačítko Pokračovat není. Protože by to spousta lidí vyhodnotila stejně špatně, jako vy, řekla by si „u mně dobrý“ a bylo by jim úplně jedno, že lezou třeba na web nějakého útočníka.

Zvolil jsem špatný příklad,

Ne, zvolil jste špatné diskusní fórum. Kdybyste řešil nějaký problém, k čemuž je určeno toto diskusní fórum, žádný příklad byste nemusel volit – prostě byste uvedl ten web, u kterého jste na problém narazil. Jenže vy neřešíte problém, vy jste si chtěl jenom vylít srdéčko.

protože nemám čas hledat 10 minut hledat vypilovanou doménu,

Jasně, zatímco lidé, kteří vám chtějí pomoci, těch 10 minut mají.

A ono jde skutečně o dočasnou chybu, v 50% případech se to načte dobře.

Certifikát se jednou vystaví a pak už se nemění. Pokud to v 50 % případů funguje, znamená to, že je tam sudý počet serverů a na polovině z nich je špatný certifikát.

 Ale ty příklady už tady zazněly https://druhypokusnazkouskuneexistujicisubdomena.maxiorel.cz/
Jde mi jen o to tlačítko Pokračovat

To je právě ono - já se na tu stránku chci dostat.

Ano, právě proto je v prohlížečích ta ochrana. Aby se tam nedostali lidé, kteří se tam dostat nemají a přesto se tam chtějí dostat.

Jelikož jsem odborník

V žádném případě nejste. Odborník by se aspoň uměl zeptat.

Jenom se ho chci přečíst
Je snad zločin prohlédnout si stránku přes HTTP nebo s expirovaným certifikátem ¿

Co si chcete přečíst? Ten web? Bez platného certifikátu ovšem nevíte, jestli jste na tom webu nebo někde úplně jinde. A jestli je vám to jedno, co si čtete, přečtěte si třeba /dev/random. Vzhledem k tomu, jak píšete, se nebojím, že byste neporozuměl tomu, co je v /dev/random napsáno.

Přemýšlím dopředu.

Tak přestaňte přemýšlet dopředu a myslete na to, co píšete. Jestli vám tam třeba nechybí ta nejdůležitější informace. Jestli to, co jste napsal, dává smysl. Jestli je to správně česky. Myslím, že to vaše přemýšlení zaměstná více než dostatečně.

[Filip Jirsák]

Normální expirovaný certifikát, u mě to vypadá takto: Chrome / FF, aktuální verze, windows 10

On totiž Ħαℓ₸℮ℵ ␏⫢ ⦚ zapomněl napsat takový drobný detail, že má prohlížeč plný různých pochybných rozšíření („kvůli bezpečnosti“) a blokuje kde co. Takže zatímco u všech normální uživatelů Chrome po té, co dostane expirovaný certifikát, pravděpodobně pingne na nějaký server Googlu, aby zjistil, jak moc mu jdou špatně hodiny – a zjistí, že mu jdou přibližně správně, že tedy certifikát je opravdu expirovaný, a zobrazí příslušnou chybovou hlášku (s textem Pokračovat). Naproti tomu Ħαℓ₸℮ℵ ␏⫢ ⦚ takovou komunikaci nejspíš zablokuje nebo přesměruje bůhvíkam, takže prohlížeč ani nemá šanci zjistit, jak si stojí jeho hodiny – a logicky zobrazí hlášku o tom, že je asi něco špatně s hodinami.

Rozdíl je v tom, že všichni uživatelé tam to tlačítko Pokračovat mají (protože na hlášce o expirovaném certifikátu je), zatímco Ħαℓ₸℮ℵ ␏⫢ ⦚ tam to tlačítko nemá (protože na hlášce o špatném času není, protože to má uživatel spravit tak, že nastaví správně hodiny).

To je jediné, co nás na celé té taškařici může těšit – že Ħαℓ₸℮ℵ ␏⫢ ⦚ zase nachytal sám sebe.

[MalyTomi]

a co najdem ako prve, ked to dam do googla?
The error usually occurs when the date and time aren't set correctly on your device. Other possible causes include an incorrectly selected time zone or region, a bad CMOS battery, browsing an insecure website, and interference from the browser cache.
Cize to moze znamenat aj chybu certifikatu, alebo chces ist na stranku, ktora je pochybna.
Chrome je prehliadac pre BFU a podla toho sa aj sprava. Proste nedovoli ist na stranky, ktore obsahuju nieco skodlive. Ak si teda odbornik, tak pouzijes nejaky normalny prehliadac, ktory proste urobi co sa mu povie a neriesi, ci si tym nakazis pocitac, alebo nie. Ak chces obsah, tak si ho stiahnu cez curl.

[Tonda]

Přesně tak, na funkčním prohlížeči na funkčním počítači to hodí chybu co sem tu dal screen já a tam lze pokračovat na nezabezpečený web. Ta jeho hláška je prostě pokud jsou blbě hodiny. Zkusil sem v systému změnit časovou zónu o jednu na východ, což vedlo k tomu, že mi hodiny ukazovaly o hodinu víc než tady reálně bylo, takže sem přepl čas na ručně nastavený a tu hodinu ubral, což vedlo právě k té hlášce, že mám blbě hodiny. Těchto dotazů je plný net a tak do pěti minut se dá najít několik návodů, kde se doporučují tyto kroky:

1. zkontrolovat nastavení času a to včetně toho, že mám správně nastaven region kde se vyskytuji a tomu odpovídající časovou zónu, zapnutou automatickou synchronizaci času a mít čas skutečně čerstvě synchronizován.
2. Smazat data prohlížeče - cache, cookies, historii, mít aktuální verzi prohlížeče, vypnout rozšíření, případně zkusit prohlížeč přeinstalovat a začít s čistým profilem.
3. Mít podporovaný a plně aktualizovaný systém.
4. Mít aktualizovanou sadu certifikátů co jsou předinstalovány v prohlížeči a systému.
5. Mít v pořádku RTC a baterii, která je napájí.
6. Jako poslední zoufalý krok spouště prohlížeč s parametrem  --ignore-certificate-errors