Linux使用curl访问https站点时报错汇总

忘是亡心i 2022-04-16 05:43 1554阅读 0赞

### 文章目录 ###

*   *  1.Peer’s Certificate issuer is not recognized
     *  2.SSL routines:SSL3\_GET\_SERVER\_CERTIFICATE:certificate verify failed
     *  3.unknown message digest algorithm
     *  4. curl构造HTTPS请求的通用办法
     *  5.参考

每一种客户端在处理https的连接时都会使用不同的证书库。IE浏览器和FireFox浏览器都可以在本浏览器的控制面板中找到证书管理器。在证书管理器中可以自由添加、删除根证书。

而Linux的curl使用的证书库在文件“/etc/pki/tls/certs/ca-bundle.crt”中。（CentOS）

以下是curl在访问https站点时常见的报错信息

## 1.Peer’s Certificate issuer is not recognized ##

[root@ip-172-31-32-208 nginx]# curl https://m.ipcpu.com
    curl: (60) Peer’s Certificate issuer is not recognized.
    More details here: http://curl.haxx.se/docs/sslcerts.html

此种情况多发生在自签名的证书，报错含义是签发证书机构未经认证，无法识别。

解决办法是将签发该证书的私有CA公钥cacert.pem文件内容，追加到/etc/pki/tls/certs/ca-bundle.crt。

我们在访问12306.cn订票网站时也报了类似的错误。

[root@ip-172-31-32-208 ~]# curl https://kyfw.12306.cn/
    curl: (60) Peer’s certificate issuer has been marked as not trusted by the user.
    More details here: http://curl.haxx.se/docs/sslcerts.html

## 2.SSL routines:SSL3\_GET\_SERVER\_CERTIFICATE:certificate verify failed ##

[root@GO-EMAIL-1 aa]# curl https://github.com/
    curl: (60) SSL certificate problem, verify that the CA cert is OK. Details:
    error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
    More details here: http://curl.haxx.se/docs/sslcerts.html

此问题多是由于本地CA证书库过旧，导致新签发证书无法识别。

经排查，github.com证书是由GTE CyberTrust Root签发,现行证书时间是：

不早于(1998/8/13 0:29:00 GMT)

不晚于(2018/8/13 23:59:00 GMT)

而在我们的Redhat5.3系统中ca-bundle.crt文件发现，GTE CyberTrust Root的时间已经过期。

Issuer: C=US, O=GTE Corporation, CN=GTE CyberTrust Root
    Validity
    Not Before: Feb 23 23:01:00 1996 GMT
    Not After : Feb 23 23:59:00 2006 GMT

解决办法是更新本地CA证书库。

方法一：

下载http://curl.haxx.se/ca/cacert.pem 替换/etc/pki/tls/certs/ca-bundle.crt

方法二：

使用update-ca-trust 更新CA证书库。（CentOS6，属于ca-certificates包）

## 3.unknown message digest algorithm ##

\[root@WEB\_YF\_2.7 ~\]\#curl [https://www.alipay.com][https_www.alipay.com]

curl: (35) error:0D0C50A1:asn1 encoding routines:ASN1\_item\_verify:unknown message digest algorithm  
此问题多由证书本地openssl不能识别SSL证书签名算法所致。[www.alipay.com][] 使用了SHA-256 RSA 加密算法。而openssl在OpenSSL 0.9.8o才加入此算法。

解决办法是升级本地openssl。

在我的操作系统RedHat5.3中,yum 升级openssl到openssl-0.9.8e-22.el5 就可以识别SHA-256算法。原因是Redhat每次都是给0.9.8e打补丁，而不是直接更换版本。在srpm包中我找到了这个补丁。

Summary: The OpenSSL toolkit
    Name: openssl
    Version: 0.9.8e
    ...
    Patch89: openssl-fips-0.9.8e-ssl-sha256.patch

## 4. curl构造HTTPS请求的通用办法 ##

HTTPS请求不携带SNI
    curl -k -H "Content-Type: application/x-www-form-urlencoded"  -H "Host:test.hadong.com" -H "yousa1:123" --tlsv1  --cacert ca.crt --cert ./client.crt --key ./client.key -i -X GET https://10.174.230.97/release/test 
    HTTPS请求携带SNI
    curl -k -H "Content-Type: application/x-www-form-urlencoded"  -H "Host:test.hadong.com" -H "yousa1:123" --tlsv1  --cacert ca.crt --cert ./client.crt --key ./client.key -i -X GET https://hadong.com/release/test

上述请求中的-k是insercure的意思，即请求流程中不会对HTTPS证书合法性作校验（通常不建议携带该选项，否则午饭验证证书的合法性）

–tlsv1是使用tlsv1.0版本

\-E/–cert <certificate\[:password\]> 为 HTTPS/FTPS 数据包指定数字证书。数字证书必须是 PEM 格式。如果 password 没有在内容中显式给定，则会在连接建立时被服务器端询问。

–key HTTPS证书的私钥文件

–cacert FILE CA certificate to verify peer against (SSL) 证书签发机构信息

## 5.参考 ##

[https://www.cnblogs.com/doseoer/p/7044344.html][https_www.cnblogs.com_doseoer_p_7044344.html]

[https_www.alipay.com]: https://www.alipay.com
[www.alipay.com]: http://www.alipay.com
[https_www.cnblogs.com_doseoer_p_7044344.html]: https://www.cnblogs.com/doseoer/p/7044344.html