Вопросы Теги

апачский ssl - не могущий получить локальный сертификат выпускающего

Так или иначе как раз сегодня внезапно мой seafile клиент throwed эта ошибка. Я не полагаю, что это - проблема seafile, потому что мой openssl бросает ту же самую ошибку:

user@nb-user:~$ echo |openssl s_client -connect seafile.mydomain.ch:443
CONNECTED(00000003)
depth=1 C = IL, O = StartCom Ltd., OU = Secure Digital Certificate Signing, CN = StartCom Class 2 Primary Intermediate Server CA
verify error:num=20:unable to get local issuer certificate
verify return:0
---
Certificate chain
 0 s:/description=5RygJ9fx8e2SBLzw/C=CH/ST=Thurgau/L=Frauenfeld/O=mydomain GmbH/CN=*.mydomain.ch/emailAddress=postmaster@mydomain.ch
   i:/C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom Class 2 Primary Intermediate Server CA
 1 s:/C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom Class 2 Primary Intermediate Server CA
   i:/C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom Certification Authority
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIGqzCCBZOgAwIBAgIDAjmGMA0GCSqGSIb3DQEBBQUAMIGMMQswCQYDVQQGEwJJ
TDEWMBQGA1UEChMNU3RhcnRDb20gTHRkLjErMCkGA1UECxMiU2VjdXJlIERpZ2l0
[... some more lines]
-----END CERTIFICATE-----
subject=/description=5RygJ9fx8e2SBLzw/C=CH/ST=Thurgau/L=Frauenfeld/O=mydomain GmbH/CN=*.mydomain.ch/emailAddress=postmaster@mydomain.ch
issuer=/C=IL/O=StartCom Ltd./OU=Secure Digital Certificate Signing/CN=StartCom Class 2 Primary Intermediate Server CA
---
No client certificate CA names sent
---
SSL handshake has read 3997 bytes and written 431 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES256-GCM-SHA384
    Session-ID: 96E1F6B9E123F8F8C1C1E8FB0DBACDBBE76ECB3E2CF5C46C1FD2CF46833C8212
    Session-ID-ctx: 
    Master-Key: 25837E1786B0CC60E676D0694319641CD0887F9CAF48A820F1C0D6ABA6FDE0742551816ACD2A4885B0D3FC143716B1F6
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:
    0000 - 88 15 c0 c5 30 04 63 d6-ff 7c 72 c4 12 84 7b d6   ....0.c..|r...{.
    0010 - 73 33 8d 91 7c da ce 22-23 d0 31 fb c1 7f 1c 9c   s3..|.."#.1.....
    [... some more lines]

    Start Time: 1424953937
    Timeout   : 300 (sec)
    Verify return code: 20 (unable to get local issuer certificate)
---
DONE

Для меня цепочечная часть смотрит точно, что она должна. Апачский conf должен также быть в порядке:

root@i-can-haz-data ~ # cat /etc/apache2/sites-enabled/seafile.conf

<VirtualHost *:443>

    ServerName seafile.mydomain.ch
    DocumentRoot /opt/seafile/www

    [... seafile specific things]

    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

    SSLEngine on
    SSLCertificateFile      /etc/ssl/custom/wildcardmydomain.ch.crt
    SSLCertificateKeyFile   /etc/ssl/custom/wildcardmydomain.ch.key
    SSLCertificateChainFile /etc/ssl/custom/wildcardmydomain.ch.chain.crt

    [... seafile specific things]

</VirtualHost>

Я не могу найти то, что моя проблема... (сертификаты CA установлен на моем lubuntu 14.04). Их сайт не применим, потому что они связали свой сертификат Класса 1, но мой выпущен их Классом 2.

9
задан 26 February 2015 в 15:03
1 ответ
verify error:num=20:unable to get local issuer certificate

Эта ошибка OpenSSL означает, что программе не удалось проверить поставщика сертификат или самый верхний сертификат предоставленной цепочки. Это может произойти в некоторых случаях, например:

  • Цепочка сертификатов для сертификата не была предоставлена ​​другой стороной или у нее его нет (он самоподписанный).
  • Корневой сертификат не в локальной базе данных доверенных корневых сертификатов.

  • Локальная база данных доверенных корневых сертификатов не была предоставлена ​​и, следовательно, не была запрошена OpenSSL. Чтобы указать путь к сертификатам явно, используйте параметр -CApath или -CAfile . Для Debian и Ubuntu это, например: 

     -CApath / etc / ssl / certs /
 -CAfile /etc/ssl/certs/ca-certificates.crt

    , что приводит к 

     openssl s_client -connect example.com:443 -CApath / etc / ssl / certs /
openssl s_client -connect example.com:443 -CAfile /etc/ssl/certs/ca-certificates.crt

Последнему требуется дополнительная информация. Имеется открытый отчет об ошибке для OpenSSL в Ubuntu с 2009 г .:

Использование -CApath, похоже, устанавливает -CAfile значение по умолчанию /etc/ssl/certs/ca-certificates.crt.

Независимо от того, какой путь вы укажете в -CApath , он может работать, потому что для -CAfile также установлено значение по умолчанию (которое было пустым заранее). Итак, не полагается на поведение OpenSSL по умолчанию при проверке сертификатов локальной базой данных сертификатов, это может быть подделкой!

19
ответ дан 2 December 2019 в 22:23

Теги

Похожие вопросы