Pourquoi ma chaîne de certificats RapidSSL n'est pas reconnue sur Ubuntu ?

Question

Pourquoi ma chaîne de certificats RapidSSL n'est pas reconnue sur Ubuntu ?

Demandé el 22 de Mai, 2012: Quand la question a-t-elle été
30278 affichage: Nombre de visites la question a
3 Réponses: Nombre de réponses aux questions
Résolu: Situation réelle de la question

J'ai un site web qui fonctionne parfaitement avec Chrome et d'autres navigateurs, mais je rencontre des erreurs avec PHP en mode CLI donc je suis en train d'enquêter, en exécutant ceci :

openssl s_client -showcerts -verify 32 -connect dev.carlipa-online.com:443

Étonnamment, mon HTTPS semble non fiable avec un Verify return code: 27 (certificate not trusted) Voici la sortie brute :

verify depth is 32
CONNECTED(00000003)
depth=2 C = US, O = GeoTrust Inc., CN = GeoTrust Global CA
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=2 C = US, O = GeoTrust Inc., CN = GeoTrust Global CA
verify error:num=27:certificate not trusted
verify return:1
depth=1 C = US, O = "GeoTrust, Inc.", CN = RapidSSL CA
verify return:1
depth=0 serialNumber = khKDXfnS0WtB8DgV0CAdsmWrXl-Ia9wZ, C = FR, O = *.carlipa-online.com, OU = GT44535187, OU = See www.rapidssl.com/resources/cps (c)12, OU = Domain Control Validated - RapidSSL(R), CN = *.carlipa-online.com
verify return:1

Donc GeoTrust Global CA semble ne pas être de confiance sur le système (Ubuntu 11.10). J'ai ajouté Equifax_Secure_CA pour essayer de résoudre cela... Mais dans ce cas j'obtiens Verify return code: 19 (self signed certificate in certificate chain) !

Sortie brute :

verify depth is 32
CONNECTED(00000003)
depth=3 C = US, O = Equifax, OU = Equifax Secure Certificate Authority
verify error:num=19:self signed certificate in certificate chain
verify return:1
depth=3 C = US, O = Equifax, OU = Equifax Secure Certificate Authority
verify return:1
depth=2 C = US, O = GeoTrust Inc., CN = GeoTrust Global CA
verify return:1
depth=1 C = US, O = "GeoTrust, Inc.", CN = RapidSSL CA
verify return:1
depth=0 serialNumber = khKDXfnS0WtB8DgV0CAdsmWrXl-Ia9wZ, C = FR, O = *.carlipa-online.com, OU = GT44535187, OU = See www.rapidssl.com/resources/cps (c)12, OU = Domain Control Validated - RapidSSL(R), CN = *.carlipa-online.com
verify return:1

Modifier

Il semble que mon serveur ne fait pas confiance / ne fournit pas le certificat racine Equifax, cependant j'ai correctement le fichier dans /usr/share/ca-certificates/mozilla/Equifax...

Demandé el 22 de Mai, 2012 par Karl Gädda

Answer 1

3 Réponses

Answer 2

3voto

Shane Madden Points 112034

Il semble que GeoTrust ait effectué un ré-arrangement de leur structure de signature.

Le troisième certificat que vous présentez (selon la réponse de Raj) est le suivant :

Mais lorsque j'ouvre votre certificat avec un client Windows, la chaîne aboutit à celui-ci :

Ces deux certificats partagent une cryptographie commune (donc ils valideront tous les deux la signature du subordonné), mais celui que vous présentez est signé par le certificat Equifax, tandis que celui vers lequel Windows décide que la chaîne de confiance mène est signé par Equifax.

Comme vous présentez le certificat qui est signé par Equifax au lieu de celui auto-signé, vous ne présentez pas la chaîne complète. Ajoutez le certificat Equifax à la chaîne que votre serveur web présente :

Maintenant, cela pourra ou non résoudre les problèmes de confiance avec votre ligne de commande openssl - vous devrez vous assurer qu'il trouve correctement le magasin de racines de confiance de votre système ; vous pouvez utiliser -CApath pour vous assurer qu'il pointe vers l'emplacement correct.

Répondu el 22 de Mai, 2012 par Shane Madden (112034 Points )

Answer 3

1voto

Old Pro Points 2099

Ajoutez -CApath RapidSSL_CA_bundle.pem:

openssl s_client -showcerts -verify 32 -CApath RapidSSL_CA_bundle.pem -connect www.example.org:443

Téléchargez le RapidSSL_CA_bundle.pem ici.

Répondu el 5 de Juillet, 2012 par Old Pro (2099 Points )

Answer 4

0voto

Raj J Points 677

Publication en réponse plutôt que dans les commentaires car c'est trop grand pour un commentaire. Je n'ai pas Ubuntu pour tester à cet instant, mais la chaîne semble complète depuis mon serveur Redhat (rhel 5 update 3) :

openssl s_client -showcerts -connect dev.carlipa-online.com:443

CONNECTED(00000003)
depth=3 /C=US/O=Equifax/OU=Equifax Secure Certificate Authority
verify return:1
depth=2 /C=US/O=GeoTrust Inc./CN=GeoTrust Global CA
verify return:1
depth=1 /C=US/O=GeoTrust, Inc./CN=RapidSSL CA
verify return:1
depth=0 /serialNumber=khKDXfnS0WtB8DgV0CAdsmWrXl-Ia9wZ/C=FR/O=*.carlipa-online.com/OU=GT44535187/OU=See www.rapidssl.com/resources/cps (c)12/OU=Domain Control Validated - RapidSSL(R)/CN=*.carlipa-online.com
verify return:1
---
Chaîne de certificats
 0 s:/serialNumber=khKDXfnS0WtB8DgV0CAdsmWrXl-Ia9wZ/C=FR/O=*.carlipa-online.com/OU=GT44535187/OU=See www.rapidssl.com/resources/cps (c)12/OU=Domain Control Validated - RapidSSL(R)/CN=*.carlipa-online.com
   i:/C=US/O=GeoTrust, Inc./CN=RapidSSL CA
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
 1 s:/C=US/O=GeoTrust, Inc./CN=RapidSSL CA
   i:/C=US/O=GeoTrust Inc./CN=GeoTrust Global CA
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
 2 s:/C=US/O=GeoTrust Inc./CN=GeoTrust Global CA
   i:/C=US/O=Equifax/OU=Equifax Secure Certificate Authority
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
---
Certificat du serveur
sujet=/serialNumber=khKDXfnS0WtB8DgV0CAdsmWrXl-Ia9wZ/C=FR/O=*.carlipa-online.com/OU=GT44535187/OU=See www.rapidssl.com/resources/cps (c)12/OU=Domain Control Validated - RapidSSL(R)/CN=*.carlipa-online.com
émetteur=/C=US/O=GeoTrust, Inc./CN=RapidSSL CA
---
Aucun nom de CA de certificat client envoyé
---
La poignée de main SSL a lu 3849 octets et écrit 316 octets
---
Nouveau, TLSv1/SSLv3, Chiffrement est DHE-RSA-AES256-SHA
La clé publique du serveur est de 2048 bits
Compression: AUCUNE
Expansion: AUCUNE
Session SSL :
    Protocole  : TLSv1
    Chiffre    : DHE-RSA-AES256-SHA
    ID de session : 16DC3DA9B3EB1CE1E17D6B3E7AFDCDBB8579E91C53FC31E227187E5BBDFD80D4
    Contexte de l'ID de session :
    Clé maîtresse : 0AC0914E228A536FF7455C17E175E4F657E12278D0994CEC24C44469BF9A4D21910C4FAA0253BE608617702FA408C399
    Arg clé   : Aucun
    Principal Krb5 : Aucun
    Heure de début : 1337702247
    Délai d'attente   : 300 (sec)
    Code de retour de vérification: 0 (ok)
---

Répondu el 22 de Mai, 2012 par Raj J (677 Points )

Pourquoi ma chaîne de certificats RapidSSL n'est pas reconnue sur Ubuntu ?

Modifier

Réponses

Questions en vedette

Top Tags

SistemesEz.com

Powered by:

Pourquoi ma chaîne de certificats RapidSSL n'est pas reconnue sur Ubuntu ?

Modifier

Réponses

Questions en vedette

Top Tags

Dans notre réseau

SistemesEz.com

Powered by: