web-dev-qa-db-ja.com

Curl：ローカル発行者証明書を取得できません。デバッグする方法は？

奇妙な問題があります。 LAMP開発マシン（Debian）をPHP 7.に更新しました。その後、Curl経由で特定のTLS暗号化APIに接続できなくなりました。

問題のSSL証明書はthawteによって署名されています。

curl https://example.com

くれます

curl: (60) SSL certificate problem: unable to get local issuer certificate

一方

curl https://thawte.com

もちろん、これもThawteの作品によって署名されています。

他のマシンのHTTPS経由でAPIサイトにアクセスできます。 curlを介して、ブラウザーでデスクトップ。したがって、証明書は確実に有効です。 SSL Labsの評価はAです。

開発マシンから他のSSL暗号化サイトへのその他のCurlリクエストはすべて機能します。私のルート証明書は最新です。確認するために、私はupdate-ca-certificates。私も http://curl.haxx.se/ca/cacert.pem を/ etc/ssl/certsにダウンロードして実行しましたc_rehash。

まだ同じエラー。

検証プロセスをデバッグし、どのローカル発行者証明書curl（またはopenssl）が探しているのに見つからないか、つまりファイル名を確認する方法はありますか？

[〜＃〜]更新[〜＃〜]

curl -vs https://example.com

教えて（IP +ドメイン匿名化）

* Hostname was NOT found in DNS cache
*   Trying 192.0.2.1...
* Connected to example.com (192.0.2.1) port 443 (#0)
* successfully set certificate verify locations:
*   CAfile: none
  CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS alert, Server hello (2):
* SSL certificate problem: unable to get local issuer certificate
* Closing connection 0

そして

echo | openssl s_client -connect example.com:443

与える

CONNECTED(00000003)
depth=2 C = US, O = "thawte, Inc.", OU = Certification Services Division, OU = "(c) 2006 thawte, Inc. - For authorized use only", CN = thawte Primary Root CA
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
 0 s:/C=DE/ST=XYZ/CN=*.example.com
   i:/C=US/O=thawte, Inc./CN=thawte SSL CA - G2
 1 s:/C=US/O=thawte, Inc./CN=thawte SSL CA - G2
   i:/C=US/O=thawte, Inc./OU=Certification Services Division/OU=(c) 2006 thawte, Inc. - For authorized use only/CN=thawte Primary Root CA
 2 s:/C=US/O=thawte, Inc./OU=Certification Services Division/OU=(c) 2006 thawte, Inc. - For authorized use only/CN=thawte Primary Root CA
   i:/C=ZA/ST=Western Cape/L=Cape Town/O=Thawte Consulting cc/OU=Certification Services Division/CN=Thawte Premium Server CA/[email protected]
---
Server certificate
-----BEGIN CERTIFICATE-----
[...]
-----END CERTIFICATE-----
subject=/C=DE/ST=XYZ/CN=*.example.com
issuer=/C=US/O=thawte, Inc./CN=thawte SSL CA - G2
---
No client certificate CA names sent
---
SSL handshake has read 4214 bytes and written 421 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES256-GCM-SHA384
    Session-ID: [...]
    Session-ID-ctx:
    Master-Key: [...]
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:
    0000 - 5a 95 df 40 2c c9 6b d5-4a 50 75 c5 a3 80 0a 2d   Z..@,.k.JPu....-
    [...]
    00b0 - d5 b9 e8 25 00 c5 c7 da-ce 73 fb f2 c5 46 c4 24   ...%.....s...F.$

    Start Time: 1455111516
    Timeout   : 300 (sec)
    Verify return code: 20 (unable to get local issuer certificate)
---
DONE
sslssl-certificateopenssltlscurl
14
Rob

openssl s_client -connect thawte.com:443を使用すると、次のことがわかります。

---
Certificate chain
 0 s:/1.3.6.1.4.1.311.60.2.1.3=US/1.3.6.1.4.1.311.60.2.1.2=Delaware/O=Thawte, Inc./C=US/ST=California/L=Mountain View/businessCategory=Private Organization/serialNumber=3898261/OU=Infrastructure Operations/CN=www.thawte.com
   i:/C=US/O=thawte, Inc./CN=thawte Extended Validation SHA256 SSL CA
 1 s:/C=US/O=thawte, Inc./CN=thawte Extended Validation SHA256 SSL CA
   i:/C=US/O=thawte, Inc./OU=Certification Services Division/OU=(c) 2008 thawte, Inc. - For authorized use only/CN=thawte Primary Root CA - G3
---

最後の「i」は、発行元の自己署名ルートCAを示しています。その特定の Thawte root CA 、_ i.eだと思います。 プライマリルートCA-G 証明書は/etc/ssl/certsディレクトリにありません（curl出力に記載されています。openssl s_clientにはデフォルトのCAパスがありません） 、明示的に指定する必要がありますeg-CApath /etc/ssl/certs）。

その証明書を/etc/ssl/certsディレクトリに明示的に追加（およびc_rehashを再実行）しても、害はありません。そして、それが機能する場合、egがopenssl s_client -connect example.com:443 -CApath /etc/ssl/certsを使用して確認された場合、そのupdate-ca-certificatesコマンドには検査/デバッグが必要になる場合があります。 、なぜこのルートCAを取得しなかったのかについて。

さて、上記のルートCAはすでに/etc/ssl/certsディレクトリにあり、上記の手順は何の効果もありません。その場合、チェックする他の2つの発行CA証明書があります（少なくともthawte.com:443によって提供される証明書チェーンに）： thawte Primary Root CA 、および thawte SSL CA-G2 。上記の手順を繰り返してこれらの証明書を/etc/ssl/certsディレクトリにインストールすると（およびc_rehashを再実行すると）機能する場合があります。これら2つはルートCAではなく中間CAであるため、これらの1つが存在しないと結果が説明され、update-ca-certificatesによって見落とされた証明書として予期される可能性があります。

お役に立てれば！

8
Castaglia

これは、サイトの公開キー証明書ファイル内のサイト、発行、中間、およびルート証明書の順序が間違っていることが原因である可能性があります。

ブラウザーは証明書を上から下の逆方向（ルート、中間、発行、サイト）で表示しますが、証明書mustは下から上方向（サイト、発行、中間、ルート）である必要があります。

0
andrej