Forum Linux.debian/ubuntu Verification de certificat SSL avec Debian 8

Posté par  (site web personnel) . Licence CC By‑SA.
Étiquettes :
0
4
fév.
2016

Sur Debian 8 à jour, OpenSSL n'arrive pas à vérifier les certificats SSL de pas mal de sites. C'est pas normal ça…

$ openssl s_client -connect www.linuxfr.org:443
CONNECTED(00000003)
depth=2 C = US, ST = New Jersey, L = Jersey City, O = The USERTRUST Network, CN = USERTrust RSA Certification Authority
verify error:num=20:unable to get local issuer certificate
verify return:0

$ openssl s_client -connect www.gandi.net:443
CONNECTED(00000003)
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = COMODO RSA Certification Authority
verify error:num=20:unable to get local issuer certificate
verify return:0

  • # À partir de quoi vérifier

    Posté par  . Évalué à 2.

    Ton problème n'a rien à voir avec ta distribution : il faut juste que tu indiques à openssl quels sont les AC que tu veux bien accepter.
    Relance la même commande en ajoutant l'option -CApath /etc/ssl/certs → ça devrait le faire

  • # Problème de mise à jour ?

    Posté par  (site web personnel) . Évalué à 1. Dernière modification le 05 février 2016 à 07:50.

    Je ne me suis jamais vraiment intéressé à ces histoires de certificats, mais j'ai un serveur sous Debian 8 et, suite à une mise à jour réalisée dernièrement, j'ai trouvé le courrier suivant dans la boite mail du compte root de mon serveur (quelque chose de similaire avait été affiché lors de la mise à jour proprement dite, mais je n'y ai pas vraiment prêté attention) : 

    ca-certificates (20141019+deb8u1) stable; urgency=medium

  Update Mozilla certificate authority bundle to version 2.6.
    The following certificate authorities were added (+):
    + "CA WoSign ECC Root"
    + "Certification Authority of WoSign G2"
    + "Certinomis - Root CA"
    + "CFCA EV ROOT"
    + "COMODO RSA Certification Authority"
    + "Entrust Root Certification Authority - EC1"
    + "Entrust Root Certification Authority - G2"
    + "GlobalSign ECC Root CA - R4"
    + "GlobalSign ECC Root CA - R5"
    + "IdenTrust Commercial Root CA 1"
    + "IdenTrust Public Sector Root CA 1"
    + "OISTE WISeKey Global Root GB CA"
    + "S-TRUST Universal Root CA"
    + "Staat der Nederlanden EV Root CA"
    + "Staat der Nederlanden Root CA - G3"
    + "TÜRKTRUST Elektronik Sertifika Hizmet Saglayicisi H5"
    + "TÜRKTRUST Elektronik Sertifika Hizmet Saglayicisi H6"
    + "USERTrust ECC Certification Authority"
    + "USERTrust RSA Certification Authority"
    The following certificate authorities were removed (-):
    - "A-Trust-nQual-03"
    - "America Online Root Certification Authority 1"
    - "America Online Root Certification Authority 2"
    - "Buypass Class 3 CA 1"
    - "ComSign Secured CA"
    - "Digital Signature Trust Co. Global CA 1"
    - "Digital Signature Trust Co. Global CA 3"
    - "E-Guven Kok Elektronik Sertifika Hizmet Saglayicisi"
    - "GTE CyberTrust Global Root"
    - "SG TRUST SERVICES RACINE"
    - "TC TrustCenter Class 2 CA II"
    - "TC TrustCenter Universal CA I"
    - "Thawte Premium Server CA"
    - "Thawte Server CA"
    - "TURKTRUST Certificate Services Provider Root 1"
    - "TURKTRUST Certificate Services Provider Root 2"
    - "UTN DATACorp SGC Root CA"
    - "Verisign Class 4 Public Primary Certification Authority - G3"

    D’après ce que j'en comprend, on y voit que les certificate authorities USERTrust RSA Certification Authority et COMODO RSA Certification Authority, référencées par les messages retournés par openssl, ont été ajoutées.

    Il y a peut-être un problème dans ta procédure de mise à à jour…

    Pour nous émanciper des géants du numérique : Zelbinium !

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.