Почему Firefox не доверяет моему самозаверяющему сертификату?

Question

У меня есть локальный домен (markfisher.local), для которого я создал самозаверяющий сертификат, который я добавил в сертификаты в Keychain Access (я использую Ma c). Это приводит к тому, что сертификат доверяют Chrome и Safari. Если я отредактирую сертификаты Trust в KeyChain Access для «Never Trust», то Chrome и Safari больше не принимают его, затем, если я верну его обратно в «Always Trust», я снова смогу получить доступ к markfisher.local OK.

Но при доступе к сайту в Firefox я получаю следующее:

markfisher.local использует недействительный сертификат безопасности. Сертификат не приходит из надежного источника. Код ошибки: MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY

Я установил security.enterprise_roots.enabled в true, как указано в в этом ответе . Кроме того, перейдя в «Настройки»> «Конфиденциальность и безопасность»> «Просмотр сертификатов», я вижу, что мой сертификат находится на вкладке «Полномочия», и я проверил «Этот сертификат может идентифицировать веб-сайты» в диалоговом окне «Изменить доверие». Первоначально это не было проверено

Однако Firefox отказывается принять сертификат. Как я могу это исправить?

Answer 1

См. https://bugzilla.mozilla.org/show_bug.cgi?id=1034124 и, в частности, этот ответ:

Похоже, что сертификат имеет расширение basicConstraints со значением cA: TRUE. Мы перестали разрешать сертификаты CA действовать как сертификаты конечных объектов. Этот сертификат должен быть восстановлен без расширения basicConstraints.

Это также объясняется в https://wiki.mozilla.org/SecurityEngineering/x509Certs

Код ошибки: MOZILLA_PKIX_ERROR_CA_CERT_USED_AS_END_ENTITY

Что это означает: сертификат с расширением базовых c ограничений с помощью cA: TRUE используется в качестве сертификата конечного объекта

Что я могу сделать: заново сгенерировать сертификат конечного объекта без расширение базы c