增强asio证书验证

Question

我正在为一个嵌入式linux系统写代码，我有一些基于boost beast websockets的代码，它能够成功地连接到几个不同的TLS加密网站。然而，我发现了另一个，它不工作，但只在嵌入式linux平台上。

我是这样设置上下文的；

boost::asio::ssl::context tlsCtx {boost::asio::ssl::context::tlsv12_client};
tlsCtx.set_options(boost::asio::ssl::context::default_workarounds
                 | boost::asio::ssl::context::no_sslv2
                 | boost::asio::ssl::context::no_sslv3
                 | boost::asio::ssl::context::no_tlsv1
                 | boost::asio::ssl::context::no_tlsv1_1
                 | boost::asio::ssl::context::single_dh_use);

tlsCtx.set_default_verify_paths();

并且该代码还执行

 ws_.next_layer().set_verify_mode(boost::asio::ssl::verify_peer);

这段代码可以连接到运行Ubuntu的我自己的笔记本电脑上的网站。但是，在嵌入式设备上，使用certificate verify failed会失败。最初，我认为根授权证书并不存在于嵌入式系统上，而是存在于我的系统上。然而，两者都在使用ca-certificates包。我在我的笔记本电脑上发现，文件/etc/ssl/certs/ca-certificates.crt包含用于在网站上验证证书的根授权证书。

将代码更改为

boost::asio::ssl::context tlsCtx {boost::asio::ssl::context::tlsv12_client};
tlsCtx.set_options(boost::asio::ssl::context::default_workarounds
                 | boost::asio::ssl::context::no_sslv2
                 | boost::asio::ssl::context::no_sslv3
                 | boost::asio::ssl::context::no_tlsv1
                 | boost::asio::ssl::context::no_tlsv1_1
                 | boost::asio::ssl::context::single_dh_use);

tlsCtx.load_verify_file("/etc/ssl/certs/ca-certificates.crt");

适用于我的笔记本电脑和嵌入式设备。然而，我需要支持所有的TLS加密网站，而不仅仅是这个。因此，我使用set_default_verify_paths来包含ca-certificates.crt文件中没有包含的根颁发机构证书。

所以把代码更新到这里；

boost::asio::ssl::context tlsCtx {boost::asio::ssl::context::tlsv12_client};
tlsCtx.set_options(boost::asio::ssl::context::default_workarounds
                 | boost::asio::ssl::context::no_sslv2
                 | boost::asio::ssl::context::no_sslv3
                 | boost::asio::ssl::context::no_tlsv1
                 | boost::asio::ssl::context::no_tlsv1_1
                 | boost::asio::ssl::context::single_dh_use);

tlsCtx.set_default_verify_paths();
tlsCtx.load_verify_file("/etc/ssl/certs/ca-certificates.crt");

我曾假设它可以支持所有场景，但它在我的开发笔记本电脑上工作，但使用嵌入式设备时，我得到了certificate verify failed。

我知道正确的根授权证书在嵌入式系统上，但当我也包含所有默认验证路径时，它似乎不想工作。有人知道为什么会这样吗？

Answer 1

我会在设备上添加缺失的根证书。因为奇怪的是/etc/ssl/certs已经包含了它的.crt文件，所以您可能只需要重新运行c_rehash

取决于你的发行版(你奇怪地忽略了吗？)您还可以使用像update-ca-certificates这样的实用程序来执行此操作，甚至更多