OpenSSL Überprüfen Sie den Rückkehrcode: 20 (lokales Ausstellerzertifikat kann nicht abgerufen werden)

Ich verwende Windows Vista und versuche, über https eine Verbindung herzustellen, um eine Datei in einer mehrteiligen Form hochzuladen, habe jedoch Probleme mit dem lokalen Ausstellerzertifikat. Ich versuche nur herauszufinden, warum dies jetzt nicht funktioniert, und später zu meinem cURL-Code zurückzukehren, nachdem dies ausgearbeitet wurde. Ich führe den Befehl aus:

openssl s_client -connect connect_to_site.com:443

Es gibt mir ein digitales Zertifikat von VeriSign, Inc., aber es gibt auch einen Fehler aus:

Verify return code: 20 (unable to get local issuer certificate)

Was ist das lokale Ausstellerzertifikat? Ist das ein Zertifikat von meinem eigenen Computer? Gibt es einen Weg, dies zu umgehen? Ich habe versucht, die Datei -CAfile mozilla.pem zu verwenden, erhalte aber immer noch den gleichen Fehler.

Ich hatte das gleiche Problem und löste es, indem ich den Pfad an ein Verzeichnis übergab, in dem CA-Schlüssel gespeichert sind. Unter Ubuntu war es:

openssl s_client -CApath /etc/ssl/certs/ -connect address.com:443

Dieser Fehler tritt auch auf, wenn Sie ein selbstsigniertes Zertifikat verwenden, bei dem keyUsageder Wert fehlt keyCertSign.

Lösung: Sie müssen den Parameter explizit hinzufügen -CAfile your-ca-file.pem.

Hinweis: Ich habe auch den -CApathin anderen Antworten erwähnten Parameter ausprobiert , funktioniert aber bei mir nicht.

Erläuterung: Fehler unable to get local issuer certificatebedeutet, dass der opensslIhr Stammzertifizierungsstellenzertifikat nicht kennt.

Hinweis: Wenn Sie einen Webserver mit mehr Domänen haben , vergessen Sie nicht, auch -servername your.domain.netParameter hinzuzufügen . Dieser Parameter wird "TLS-Erweiterungsservername in ClientHello festlegen". Ohne diesen Parameter enthält die Antwort immer das Standard-SSL-Zertifikat (kein Zertifikat, das mit Ihrer Domain übereinstimmt).

Ist Ihr Server für die Clientauthentifizierung konfiguriert? In diesem Fall müssen Sie das Client-Zertifikat übergeben, während Sie eine Verbindung zum Server herstellen.

Ich hatte das gleiche Problem unter OSX OpenSSL 1.0.1i von Macports und musste CApath als Problemumgehung angeben (und wie im Ubuntu-Fehlerbericht erwähnt, lässt sogar ein ungültiger CApath openssl im Standardverzeichnis aussehen). Interessanterweise funktionierte die Verbindung mit demselben Server mithilfe der OpenSL-Funktionen von PHP (wie in PHPMailer 5 verwendet) einwandfrei.

Mit Client-Authentifizierung:

openssl s_client -cert ./client-cert.pem -key ./client-key.key -CApath /etc/ssl/certs/ -connect foo.example.com:443

Legen Sie Ihre Zertifizierungsstelle und Ihr Stammzertifikat in / usr / share / ca-Zertifikat oder / usr / local / share / ca-Zertifikat ab. Dann

dpkg-Rekonfigurieren von CA-Zertifikaten

oder installieren Sie das ca-Zertifikat-Paket sogar mit apt-get neu.

Danach wird Ihr Zertifikat in der Datenbank des Systems gesammelt: /etc/ssl/certs/ca-certificates.crt

Dann sollte alles in Ordnung sein.

Erstellen Sie die Zertifikatskettendatei mit dem Zwischen- und Stammverzeichnis.

cat intermediate/certs/intermediate.cert.pem certs/ca.cert.pem > intermediate/certs/ca-chain.cert.pem

chmod 444 intermediate/certs/ca-chain.cert.pem

Dann überprüfen

openssl verify -CAfile intermediate/certs/ca-chain.cert.pem \
  intermediate/certs/www.example.com.cert.pem

www.example.com.cert.pem: OK Stellen Sie das Zertifikat bereit

Ich hatte das gleiche Problem: Es wurde behoben, nachdem der Betreff des Ausstellers im Zertifikat beibehalten wurde, da es als Betreff des Ausstellerzertifikats gilt.

Aktivieren Sie daher bitte "Betreff des Ausstellers im Zertifikat (cert.pem) == Betreff des Ausstellers (CA.pem)".

openssl verify -CAfile CA.pem cert.pem
cert.pem: OK

Diese Fehlermeldung bedeutet, dass CABundle nicht von (-CAfile ...) angegeben wird ODER die CABundle-Datei nicht von einem selbstsignierten Stammzertifikat geschlossen wird.

Mach dir keine Sorgen. Die Verbindung zum Server funktioniert auch dann, wenn Sie diese Nachricht von openssl s_client erhalten ... (vorausgesetzt, Sie machen auch keinen anderen Fehler)