Forum Linux.debian/ubuntu Verification de certificat SSL avec Debian 8

Posté par (site web personnel, Mastodon) . Licence CC By‐SA.
Étiquettes :
0
4
fév.
2016

Sur Debian 8 à jour, OpenSSL n'arrive pas à vérifier les certificats SSL de pas mal de sites. C'est pas normal ça...

$ openssl s_client -connect www.linuxfr.org:443
CONNECTED(00000003)
depth=2 C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority
verify error:num=20:unable to get local issuer certificate
verify return:0

$ openssl s_client -connect www.gandi.net:443
CONNECTED(00000003)
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Certification Authority
verify error:num=20:unable to get local issuer certificate
verify return:0

  • # À partir de quoi vérifier

    Posté par . Évalué à 2.

    Ton problème n'a rien à voir avec ta distribution : il faut juste que tu indiques à openssl quels sont les AC que tu veux bien accepter.
    Relance la même commande en ajoutant l'option -CApath /etc/ssl/certs → ça devrait le faire

  • # Problème de mise à jour ?

    Posté par (site web personnel) . Évalué à 1. Dernière modification le 05 février 2016 à 07:50.

    Je ne me suis jamais vraiment intéressé à ces histoires de certificats, mais j'ai un serveur sous Debian 8 et, suite à une mise à jour réalisée dernièrement, j'ai trouvé le courrier suivant dans la boite mail du compte root de mon serveur (quelque chose de similaire avait été affiché lors de la mise à jour proprement dite, mais je n'y ai pas vraiment prêté attention) : 

    ca-certificates (20141019+deb8u1) stable; urgency=medium
 Update Mozilla certificate authority bundle to version 2.6.
 The following certificate authorities were added (+):
 + "CA WoSign ECC Root"
 + "Certification Authority of WoSign G2"
 + "Certinomis - Root CA"
 + "CFCA EV ROOT"
 + "COMODO RSA Certification Authority"
 + "Entrust Root Certification Authority - EC1"
 + "Entrust Root Certification Authority - G2"
 + "GlobalSign ECC Root CA - R4"
 + "GlobalSign ECC Root CA - R5"
 + "IdenTrust Commercial Root CA 1"
 + "IdenTrust Public Sector Root CA 1"
 + "OISTE WISeKey Global Root GB CA"
 + "S-TRUST Universal Root CA"
 + "Staat der Nederlanden EV Root CA"
 + "Staat der Nederlanden Root CA - G3"
 + "TÜRKTRUST Elektronik Sertifika Hizmet Saglayicisi H5"
 + "TÜRKTRUST Elektronik Sertifika Hizmet Saglayicisi H6"
 + "USERTrust ECC Certification Authority"
 + "USERTrust RSA Certification Authority"
 The following certificate authorities were removed (-):
 - "A-Trust-nQual-03"
 - "America Online Root Certification Authority 1"
 - "America Online Root Certification Authority 2"
 - "Buypass Class 3 CA 1"
 - "ComSign Secured CA"
 - "Digital Signature Trust Co. Global CA 1"
 - "Digital Signature Trust Co. Global CA 3"
 - "E-Guven Kok Elektronik Sertifika Hizmet Saglayicisi"
 - "GTE CyberTrust Global Root"
 - "SG TRUST SERVICES RACINE"
 - "TC TrustCenter Class 2 CA II"
 - "TC TrustCenter Universal CA I"
 - "Thawte Premium Server CA"
 - "Thawte Server CA"
 - "TURKTRUST Certificate Services Provider Root 1"
 - "TURKTRUST Certificate Services Provider Root 2"
 - "UTN DATACorp SGC Root CA"
 - "Verisign Class 4 Public Primary Certification Authority - G3"

    D’après ce que j'en comprend, on y voit que les certificate authorities USERTrust RSA Certification Authority et COMODO RSA Certification Authority, référencées par les messages retournés par openssl, ont été ajoutées.

    Il y a peut-être un problème dans ta procédure de mise à à jour...

    Zelbinium: pour la génération qui crée, pas celle qui scrolle...

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.