verifikasi sertifikat server gagal. CAfile: /etc/ssl/certs/ca-certificates.crt CRLfile: tidak ada

Saya dapat mendorong proyek klon menggunakan ssh, tetapi tidak berfungsi ketika saya mengkloning proyek dengan https.

Pesan kesalahan yang menunjukkan kepada saya adalah:

server certificate verification failed. CAfile: /etc/ssl/certs/cacertificates.crt CRLfile: none

TLDR:

hostname=XXX
port=443
trust_cert_file_location=`curl-config --ca`

sudo bash -c "echo -n | openssl s_client -showcerts -connect $hostname:$port -servername $hostname \
    2>/dev/null  | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'  \
    >> $trust_cert_file_location"

Jawaban panjang

Alasan dasarnya adalah bahwa komputer Anda tidak mempercayai otoritas sertifikat yang menandatangani sertifikat yang digunakan di server Gitlab . Ini tidak berarti sertifikat mencurigakan, tetapi dapat ditandatangani sendiri atau ditandatangani oleh lembaga / perusahaan yang tidak ada dalam daftar CA OS Anda. Apa yang harus Anda lakukan untuk menghindari masalah di komputer adalah mengatakannya untuk memercayai sertifikat itu - jika Anda tidak punya alasan untuk curiga tentang hal itu.

Anda perlu memeriksa sertifikat web yang digunakan untuk server gitLab Anda, dan menambahkannya ke </git_installation_folder>/bin/curl-ca-bundle.crt.

Untuk memeriksa apakah setidaknya klon bekerja tanpa memeriksa sertifikat tersebut, Anda dapat mengatur:

export GIT_SSL_NO_VERIFY=1
#or
git config --global http.sslverify false

Tapi itu hanya untuk pengujian, seperti yang diilustrasikan dalam " SSL berfungsi dengan browser, wget, dan curl, tetapi gagal dengan git ", atau dalam posting blog ini .

Periksa pengaturan GitLab Anda, dalam edisi 4272 .

Untuk mendapatkan sertifikat itu (yang perlu Anda tambahkan ke curl-ca-bundle.crtfile Anda ), ketikkan:

echo -n | openssl s_client -showcerts -connect yourserver.com:YourHttpsGitlabPort \
  2>/dev/null  | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

(dengan ' yourserver.commenjadi nama server GitLab Anda, dan biasanya YourHttpsGitlabPortadalah port https 443)

Untuk memeriksa CA (penerbit Otoritas Sertifikat), ketik a:

echo -n | openssl s_client -showcerts -connect yourserver.com:YourHttpsGilabPort \
  2>/dev/null  | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' \
  | openssl x509 -noout -text | grep "CA Issuers" | head -1

Catatan: Valeriy Katkov menyarankan dalam komentar untuk menambahkan -servernameopsi ke perintah openssl, jika tidak, perintah tersebut tidak menunjukkan sertifikat untuk www.github.com dalam kasus Valeriy.

openssl s_client -showcerts -servername www.github.com -connect www.github.com:443

Findekano menambahkan dalam komentar :

untuk mengidentifikasi lokasi curl-ca-bundle.crt, Anda dapat menggunakan perintah

curl-config --ca

Juga, lihat jawaban saya yang lebih baru " github: verifikasi sertifikat server gagal ": Anda mungkin harus memperbarui semua sertifikat itu:

sudo apt-get install --reinstall ca-certificates
sudo mkdir /usr/local/share/ca-certificates/cacert.org
sudo wget -P /usr/local/share/ca-certificates/cacert.org http://www.cacert.org/certs/root.crt http://www.cacert.org/certs/class3.crt
sudo update-ca-certificates
git config --global http.sslCAinfo /etc/ssl/certs/ca-certificates.crt

Catatan: Ini memiliki implikasi keamanan besar .

Buka terminal Anda dan jalankan perintah berikut:

export GIT_SSL_NO_VERIFY=1

Ini bekerja untuk saya dan saya menggunakan sistem Linux.

Penyebab lain dari masalah ini mungkin karena jam Anda mati. Sertifikat sensitif terhadap waktu.

Untuk memeriksa waktu sistem saat ini:

date -R

Anda dapat mempertimbangkan menginstal NTP untuk secara otomatis menyinkronkan waktu sistem dengan server waktu internet tepercaya dari kumpulan NTP global . Misalnya, untuk menginstal di Debian / Ubuntu:

apt-get install ntp

Jika Anda menggunakan server git di dalam jaringan pribadi dan menggunakan sertifikat yang ditandatangani sendiri atau sertifikat di atas alamat IP; Anda juga dapat menggunakan git global config untuk menonaktifkan pemeriksaan ssl:

git config --global http.sslverify "false"

Punya masalah yang sama. Disebabkan oleh otoritas sertifikat yang diterbitkan sendiri. Mengatasinya dengan menambahkan file .pem ke / usr / local / share / ca-sertifikat / dan menelepon

sudo update-ca-certificates

PS: file pem dalam folder ./share/ca-certificates HARUS memiliki ekstensi .crt

Periksa jam sistem Anda,

$ date

Jika tidak benar, cek sertifikat akan gagal. Untuk memperbaiki jam sistem,

$ apt-get install ntp

Jam harus menyinkronkan dirinya sendiri.

Akhirnya masukkan perintah klon lagi.

GIT_CURL_VERBOSE=1 git [clone|fetch]…

harus memberi tahu Anda di mana masalahnya. Dalam kasus saya itu adalah karena CURL tidak mendukung sertifikat PEM ketika dibangun terhadap NSS, karena dukungan itu tidak menjadi arus utama di NSS ( # 726116 # 804215 # 402712 dan lebih banyak lagi ).

Atau jalankan komentar ini untuk menambahkan Sertifikat server ke database Anda:

echo $(echo -n | openssl s_client -showcerts -connect yourserver.com:YourHttpGilabPort 2>/dev/null  | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p') >> /etc/ssl/certs/ca-certificates.crt

Lalu lakukan git klon lagi.

Saya mengacaukan file CA saya saat saya menyiapkan proxy goagent. Tidak dapat menarik data dari github, dan mendapatkan peringatan yang sama:

verifikasi sertifikat server gagal. CAfile: /etc/ssl/certs/ca-certificates.crt CRLfile: tidak ada

gunakan metode Vonc, dapatkan sertifikat dari github, dan masukkan ke /etc/ssl/certs/ca-certificates.crt, masalah terpecahkan.

echo -n | openssl s_client -showcerts -connect github.com:443 2> / dev / null | sed -ne '/ -BEGIN CERTIFICATE - /, / - END CERTIFICATE- / p'

tidak perlu mengatur verifikasi git ssl untuk disetel ke false. Ini disebabkan ketika sistem tidak memiliki semua sertifikat otoritas CA. Sebagian besar orang yang memiliki sertifikat SSL asli kehilangan sertifikat perantara.

Hanya menambahkan teks lengkap sertifikat perantara (seluruh rantai CA hilang dan sertifikat perantara) ke

sudo gedit /etc/ssl/certs/ca-certificates.crt 

bekerja tanpa menjalankan update-ca-certificates.

Hal yang sama berlaku untuk sertifikat yang dibuat secara manual, cukup tambahkan teks sertifikat CA.

Pada akhirnya: Dorong berhasil: Semuanya mutakhir

Apa yang saya lakukan untuk mengatasi masalah ini di terminal (Ubuntu 18.04):

openssl s_client -showcerts -servername www.github.com -connect www.github.com:443

Saya mendapat dua bongkahan bongkahan sertifikat. Dan saya menyalin potongan sertifikat ke file sertifikat saya ke /etc/ssl/certs/ca-certificates.crt.

Saya menginstal Xubuntu pada Raspberry pi 2, menemukan masalah yang sama dengan waktu, karena sinkronisasi NTP dan Server Otomatis mati (atau tidak diinstal). Dapatkan NTP

sudo apt-get install ntp

dan ubah "Waktu dan Tanggal" dari "Manual" menjadi "Tetap disinkronkan dengan Server Internet"

Akhirnya, tambahkan http.sslverify ke .git / config Anda.

[core]
    repositoryformatversion = 0
    filemode = true
    bare = false
    logallrefupdates = true
[remote "origin"]
    url = https://server/user/project.git
    fetch = +refs/heads/*:refs/remotes/origin/*
[branch "master"]
    remote = origin
    merge = refs/heads/master
[http]
        sslVerify = false

Hal pertama yang harus Anda periksa adalah izin file dari /etc/ssldan /etc/ssl/certs.

Saya melakukan kesalahan dengan menjatuhkan izin file (atau membuang rm -rf /etc/ssl/*direktori SSL ) ketika menggunakan ssl-certnama grup / ID saat bekerja pada Alat Manajemen Otoritas Sertifikat saya .

Saat itulah saya melihat pesan kesalahan yang sama persis untuk wgetdan curlalat browser CLI:

server certificate verification failed. CAfile: /etc/ssl/certs/ca-certificates.crt CRLfile: none

Setelah saya membawa izin file /etc/ssldan /etc/ssl/certdirektori ' o+rx-w, alat-alat browser CLI mulai bernafas sedikit lebih mudah:

mkdir -p /etc/ssl/certs
chmod u+rwx,go+rx /etc/ssl /etc/ssl/certs

Saya juga harus membuat ulang subdirektori Java dan merekonstruksi direktori sertifikat CA Tepercaya:

mkdir /etc/ssl/certs/java
chmod u+rwx,go+rx /etc/ssl/certs/java
update-ca-certificates

dan pantainya jernih.

Saya baru saja mengalami masalah yang sama dengan repositori git yang selalu bekerja untuk saya. Masalahnya adalah saya mengaksesnya melalui akses WiFi publik, yang dialihkan ke portal captive pada koneksi pertama (misalnya untuk menampilkan iklan dan setuju dengan tos).

Apakah sertifikat dan bundel disalin dalam satu file .crt dan pastikan bahwa ada garis kosong antara sertifikat dalam file.

Ini bekerja untuk saya di server GitLab setelah mencoba semuanya di Internet.