文章/答案/技术大牛

发布

社区首页 >问答首页 >为什么curl需要根证书和中间证书才能安全地连接到HTTP服务器？

问为什么curl需要根证书和中间证书才能安全地连接到HTTP服务器？
EN

Cryptography用户

提问于 2018-11-12 13:15:27

回答 2查看 11.5K关注 0票数 5

我创建了根证书、中间证书和服务器证书：

root (ca.cert.pem)
|
+---intermediate (intermediate/certs/intermediate.cert.pem)
    |
    +---www.example.com
        ↳ certificate: (intermediate/certs/www.example.com.cert.pem)
        ↳ private key: (intermediate/private/www.example.com.key.pem)

我使用www.example.com的私钥和公共证书来使用Node创建HTTPS服务器：

var tls = require('tls');
var fs = require('fs');

var options = {
  key: fs.readFileSync('intermediate/private/www.example.com.key.pem'),
  cert: fs.readFileSync('intermediate/certs/www.example.com.cert.pem')
};

tls.createServer(options, function (s) {
  s.write("welcome!\n");
  s.pipe(s);
}).listen(8000);

我想验证一下，如果客户端能够访问根证书(ca.cert.pem)，它可以成功地向https://www.example.com:8000发送安全请求。

如果我试着：

$ curl -v --cacert certs/ca.cert.pem https://www.example.com:8000

如果出现错误消息，它将失败：

* Rebuilt URL to: https://www.example.com:8000/
*   Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to www.example.com (127.0.0.1) port 8000 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
*   CAfile: /certs/ca.cert.pem
  CApath: /etc/ssl/certs
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* NPN, no overlap, use HTTP1.1
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (OUT), TLS alert, Server hello (2):
* SSL certificate problem: unable to get local issuer certificate
* stopped the pause stream!
* Closing connection 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.haxx.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.

但是，如果我创建了一个证书链：

$ cat intermediate/certs/intermediate.cert.pem \
      certs/ca.cert.pem > intermediate/certs/ca-chain.cert.pem

使用它作为curl的--cacert，一切都如预期的那样工作：

$ curl -v --cacert intermediate/certs/ca-chain.cert.pem   https://www.example.com:8000
* Rebuilt URL to: https://www.example.com:8000/
*   Trying 127.0.0.1...
* TCP_NODELAY set
* Connected to www.example.com (127.0.0.1) port 8000 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* successfully set certificate verify locations:
*   CAfile: /intermediate/certs/ca-chain.cert.pem
  CApath: /etc/ssl/certs
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* NPN, no overlap, use HTTP1.1
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Client hello (1):
* TLSv1.2 (OUT), TLS handshake, Unknown (67):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES128-GCM-SHA256
* ALPN, server did not agree to a protocol
* Server certificate:
*  subject: C=AU; ST=Victoria; L=Melbourne; O=ACME; OU=ACME Web; CN=www.example.com; emailAddress=web@example.com
*  start date: Nov 12 11:32:59 2018 GMT
*  expire date: Nov 22 11:32:59 2019 GMT
*  common name: www.example.com (matched)
*  issuer: C=AU; ST=Victoria; O=ACME; OU=ACME Certificate Authority; CN=ACME Intermediate CA; emailAddress=contact2@example.com
*  SSL certificate verify ok.
> GET / HTTP/1.1
> Host: www.example.com:8000
> User-Agent: curl/7.58.0
> Accept: */*
> 
welcome!
GET / HTTP/1.1
Host: www.example.com:8000
User-Agent: curl/7.58.0
Accept: */*

如果我没有错，类似于浏览器，curl应该只需要根证书来验证www.example.com证书的签名。那么，为什么curl需要同时使用根证书和中间证书来验证它确实与正确的服务器通信呢？

文件

以下是此设置中使用的PEM文件的内容(丢弃未加密的PEM文件)：

`ca.cert.pem`

`intermediate.cert.pem`

`www.example.com.cert.pem`

`www.example.com.key.pem`

tls

certificates

回答 2

Cryptography用户

回答已采纳

发布于 2018-11-13 10:11:01

(0)这实际上不是关于密码的，而且可能在security.SX上会更好，因为它有很多关于证书链接、HTTPS浏览器和服务器使用的Qs，但是.

(1)虽然目前使用的友邦比过去更多，而且是可以接受的解决办法，但官方的标准解决方案是，服务器必须将包含中间证书(S)的链发送到但不一定包括根证书，请参阅https://www.rfc-editor.org/rfc/rfc5246#section-7.4.2 et pred (注意: TLS1.3 rfc8446略有更改)或标题证书和身份验证处的熊史诗https://security.stackexchange.com/questions/20803/how-does-ssl-tls-work，以及

(2)在几个堆栈中，有许多关于如何配置各种服务器以根据需要发送证书链的Qs；对于nodejs，请从https://stackoverflow.com/questions/19104215/node-js-express-js-chain-certificate-not-working https://stackoverflow.com/questions/16224064/running-ssl-node-js-server-with-godaddy-gd-bundle-crt https://stackoverflow.com/questions/32777760/how-to-fix-missing-an-intermediate-chain-certificate-in-nodejs开始。

票数 6

Cryptography用户

发布于 2018-11-12 14:17:09

如果我没有错，类似于浏览器，curl应该只需要root证书来验证www.example.com的SSL证书的签名。

你错了。根据维基百科关于证书链验证的文章 (而且网络上还有几十个类似的页面)：

从信任锚开始，对路径中的每个证书执行以下步骤。如果对任何证书进行检查失败，则算法终止，路径验证失败。

报告接着列出了核查所需的若干步骤。关键是必须对整个链进行验证，只有当整个链存在于系统中时才能进行验证。在验证过程中，无法从联机源检索链中的证书。

票数 1

页面原文内容由Cryptography提供。腾讯云小微IT领域专用引擎提供翻译支持

原文链接：

https://crypto.stackexchange.com/questions/63907

复制

相似问题

问为什么curl需要根证书和中间证书才能安全地连接到HTTP服务器？
EN

文件

`ca.cert.pem`

`intermediate.cert.pem`

`www.example.com.cert.pem`

`www.example.com.key.pem`

回答 2

Cryptography用户

Cryptography用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问为什么curl需要根证书和中间证书才能安全地连接到HTTP服务器？EN

文件

ca.cert.pem

intermediate.cert.pem

www.example.com.cert.pem

www.example.com.key.pem

回答 2

Cryptography用户

Cryptography用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问为什么curl需要根证书和中间证书才能安全地连接到HTTP服务器？
EN

`ca.cert.pem`

`intermediate.cert.pem`

`www.example.com.cert.pem`

`www.example.com.key.pem`