尝试连接到localhost mysql服务器时收到“错误2026 (HY000)：SSL连接错误: ASN:错误的其他签名确认”

Question

我遵循了文章http://www.madirish.net/214生成的服务器证书，如下所示

ssl-ca=server.csr

ssl-cert=server.cert

ssl-key=server.key

客户端证书格式为ssl-ca=client.csr

ssl-cert=client.cert

当我尝试连接mysql客户端时，我得到了以下结果：

root@sumit mysql-cert# mysql -uroot -padmin --ssl-ca=/etc/ssl/mysql-cert/client.csr --ssl-cert=/etc/ssl/mysql-cert/client.cert --ssl-key=/etc/ssl/mysql-cert/server.key

警告:在命令行界面上使用密码可能不安全。

错误2026 (HY000)：SSL连接错误: ASN:错误的其他签名确认

我尝试从远程机器执行相同的命令，得到以下错误

错误2026 (HY000)：SSL连接错误帮助我解决这个问题。

Answer 1

正如Charley所指出的，我认为.csr文件是错误的-我在尝试阅读同一篇文章时遇到了同样的问题(并且遇到了同样的错误)。我遵循了这篇文章(https://dev.mysql.com/doc/refman/5.0/en/creating-ssl-certs.html)来生成密钥和证书，并且它是有效的。要点：

# Create CA certificate
shell> openssl genrsa 2048 > ca-key.pem
shell> openssl req -new -x509 -nodes -days 3600 \
     -key ca-key.pem -out ca-cert.pem

# Create server certificate, remove passphrase, and sign it
# server-cert.pem = public key, server-key.pem = private key
shell> openssl req -newkey rsa:2048 -days 3600 \
     -nodes -keyout server-key.pem -out server-req.pem
shell> openssl rsa -in server-key.pem -out server-key.pem
shell> openssl x509 -req -in server-req.pem -days 3600 \
     -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out server-cert.pem

# Create client certificate, remove passphrase, and sign it
# client-cert.pem = public key, client-key.pem = private key
shell> openssl req -newkey rsa:2048 -days 3600 \
     -nodes -keyout client-key.pem -out client-req.pem
shell> openssl rsa -in client-key.pem -out client-key.pem
shell> openssl x509 -req -in client-req.pem -days 3600 \
     -CA ca-cert.pem -CAkey ca-key.pem -set_serial 01 -out client-cert.pem

然后ca-cert.pem在两端都是ssl-ca，服务器获取ssl-cert和ssl-key的server-key/cert.pem，客户端获取客户端密钥。

Answer 2

我在一组证书和客户端/服务器环境中遇到了相同的签名错误，它们以前工作得很好。我假设在我没有考虑到的环境中一定发生了一些变化，因为使用它们的文件和方法都是相同的。在浪费了很多时间之后，我发现CA已经过期了！我一定是在生成证书时不小心弄乱了过期设置。在理想的情况下，这个错误消息会说明一些更有意义的事情，但由于它不是这样的--如果你遇到这个模糊的错误，这里有几个重要的(显而易见的)步骤：

尝试根据CA验证您的证书：

sudo openssl verify -CAfile [CA PATH] [CERT PATH]

尝试以文本形式查看CA：

sudo openssl x509 -in [CA PATH] -text -noout