以下是curl在訪問https站點時常見的報錯資訊

1.Peer’s Certificate issuer is not recognized

[[email protected] nginx]# curl https://m.ipcpu.com
curl: (60) Peer’s Certificate issuer is not recognized.
More details here: http://curl.haxx.se/docs/sslcerts.html

此種情況多發生在自簽名的證書，報錯含義是簽發證書機構未經認證，無法識別。

解決辦法是將簽發該證書的私有CA公鑰cacert.pem檔案內容，追加到/etc/pki/tls/certs/ca-bundle.crt。

我們在訪問12306.cn訂票網站時也報了類似的錯誤。

[[email protected] ~]# curl https://kyfw.12306.cn/
curl: (60) Peer’s certificate issuer has been marked as not trusted by the user.
More details here: http://curl.haxx.se/docs/sslcerts.html

2.SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed

[[email protected]

此問題多是由於本地CA證書庫過舊，導致新簽發證書無法識別。

經排查，github.com證書是由GTE CyberTrust Root簽發,現行證書時間是：

• 不早於(1998/8/13 0:29:00 GMT)
• 不晚於(2018/8/13 23:59:00 GMT)

而在我們的Redhat5.3系統中ca-bundle.crt檔案發現，GTE CyberTrust Root的時間已經過期。

Issuer: C=US, O=GTE Corporation, CN=GTE CyberTrust Root
Validity
Not Before: Feb 23 23:01:00 1996 GMT
Not After : Feb 23 23:59:00 2006 GMT

解決辦法是更新本地CA證書庫。

方法一：

下載http://curl.haxx.se/ca/cacert.pem 替換/etc/pki/tls/certs/ca-bundle.crt

方法二：

使用update-ca-trust 更新CA證書庫。（CentOS6，屬於ca-certificates包）

3.unknown message digest algorithm

[[email protected]_YF_2.7 ~]#curl https://www.alipay.com
curl: (35) error:0D0C50A1:asn1 encoding routines:ASN1_item_verify:unknown message digest algorithm
此問題多由證書本地openssl不能識別SSL證書籤名演算法所致。www.alipay.com 使用了SHA-256 RSA 加密演算法。而openssl在OpenSSL 0.9.8o才加入此演算法。

解決辦法是升級本地openssl。

在我的作業系統RedHat5.3中,yum 升級openssl到openssl-0.9.8e-22.el5 就可以識別SHA-256演算法。原因是Redhat每次都是給0.9.8e打補丁，而不是直接更換版本。在srpm包中我找到了這個補丁。

Summary: The OpenSSL toolkit
Name: openssl
Version: 0.9.8e
...
Patch89: openssl-fips-0.9.8e-ssl-sha256.patch

4.JAVA和PHP的問題

java和php都可以程式設計來訪問https網站。例如httpclient等。

其呼叫的CA根證書庫並不和作業系統一致。

JAVA的CA根證書庫是在 JRE的$JAVA_HOME/jre/lib/security/cacerts，該檔案會隨著JRE版本的升級而升級。可以使用keytool工具進行管理。

PHP這邊我沒有進行測試，從php安裝curl元件的過程來看，極有可能就是直接採用的作業系統curl一直的資料。

當然PHP也提供了 curl.cainfo 引數(php.ini)來指定CA根證書庫的位置。