☰

피어 인증서 발급자를 제공하는 모든 TLS 요청은 사용자가 신뢰할 수 없는 것으로 표시되었습니다.

tag-icon • tag-icon linux shell ssl
피어 인증서 발급자를 제공하는 모든 TLS 요청은 사용자가 신뢰할 수 없는 것으로 표시되었습니다.

최근에 google.com에 https 요청을 하려고 하면 보이기 시작했습니다.

[root@ip-172-31-47-76 ~]# curl -I -v https://google.com
* Rebuilt URL to: https://google.com/
*   Trying 216.58.193.78...
* TCP_NODELAY set
* Connected to google.com (216.58.193.78) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none
* Server certificate:
*       subject: CN=*.google.com,O=Google Inc,L=Mountain View,ST=California,C=US
*       start date: Feb 20 14:17:23 2018 GMT
*       expire date: May 15 14:08:00 2018 GMT
*       common name: *.google.com
*       issuer: CN=Google Internet Authority G2,O=Google Inc,C=US
* NSS error -8172 (SEC_ERROR_UNTRUSTED_ISSUER)
* Peer's certificate issuer has been marked as not trusted by the user.
* stopped the pause stream!
* Closing connection 0
curl: (60) Peer's certificate issuer has been marked as not trusted by the user.
More details here: https://curl.haxx.se/docs/sslcerts.html

Yum 업데이트 요청도 실패하므로 이는 시스템 업데이트 기능에 영향을 미칩니다. 이 페이지의 지침을 사용하여 인증서를 다시 가져오려고 했습니다.https://access.redhat.com/solutions/1549003. 또한 여기 지침을 사용하여 수동으로 Google 인증서를 추가해 보았습니다.https://curl.haxx.se/docs/sslcerts.html. 둘 다 작동하지 않습니다.

관련이 있는지는 잘 모르겠지만 추가 문제 해결을 위해 certutil 유틸리티를 사용해 보았지만 작동하지 않습니다.

[root@ip-172-31-47-76 ~]# certutil
certutil: /usr/local/firefox/libnss3.so: version `NSS_3.30' not found (required by certutil)

여기서 무슨 일이 일어나고 있는지 잘 모르겠지만 도움을 주시면 감사하겠습니다. Amazon Linux 이미지를 사용하고 있습니다.

답변1

귀하의 오류를 시뮬레이션할 수는 없지만 인증서를 수동으로 업데이트한 후에는 작동할 것이라고 믿습니다. 이를 위해 특정 서버의 CA 인증서를 추출하는 간단한 방법인 "openssl" 도구를 사용할 수 있습니다.

1.서버 공용 인증서를 가져와서 conn_cert.log.pem 파일에 저장한 후 다음 명령을 입력하고 Enter를 누르세요.

openssl s_client -showcerts -servername https://google.com -connect google.com:443 > conn_cert.log.pem

2.이제 “quit”을 입력하고 Enter를 누르세요.

삼."conn_cert.log.pem" 파일의 인증서는 "BEGIN CERTIFICATE"와 "END CERTIFICATE" 문자열 사이에 있지만 다른 로그 메시지가 있습니다. 이제 로그 파일에서 인증서를 추출하여 " google_public "中.crt".

openssl x509 -inform PEM -in conn_cert.log.pem -text -out google_public.crt

4.마지막으로 잘못된 인증서를 새 인증서로 덮어씁니다.

cp google_public.crt /etc/pki/tls/certs/ca-bundle.crt

5.다시 테스트 해보고 행복하세요..

참고자료:

관련 정보