cURL 명령줄에서 자체 서명된 인증서를 신뢰하는 방법은 무엇입니까?

Question 1

노력하다 -k:

curl -k https://yourhost/

자체 서명된 인증서를 "수락"해야 합니다.

Answer

노력하다 -k:

curl -k https://yourhost/

자체 서명된 인증서를 "수락"해야 합니다.

Question 2

아래 단계를 따르면 문제가 해결됩니다.

자체 서명된 인증서를 다운로드하고 저장합니다.echo quit | openssl s_client -showcerts -servername "${API_HOST}" -connect "${API_HOST}":443 > cacert.pem
curl고객에게 다음과 같이 말하세요 .curl --cacert cacert.pem --location --silent https://${API_HOST}

wget을 사용하고 인증서를 무시할 수도 있습니다.wget --no-check-certificate https://${API_HOST}

Answer

아래 단계를 따르면 문제가 해결됩니다.

자체 서명된 인증서를 다운로드하고 저장합니다.echo quit | openssl s_client -showcerts -servername "${API_HOST}" -connect "${API_HOST}":443 > cacert.pem
curl고객에게 다음과 같이 말하세요 .curl --cacert cacert.pem --location --silent https://${API_HOST}

wget을 사용하고 인증서를 무시할 수도 있습니다.wget --no-check-certificate https://${API_HOST}

Question 3

이 문제는 정확히 동일한 문제와 오류 메시지에 부딪혔지만 Openssl 대신 GNUTLS의 certtool을 사용하여 인증서를 생성했습니다.

내 문제는 CA로서 자체 서명된 인증서가 없다는 것입니다. 웹 서버 인증서로만 작동하도록 구성됩니다. 이것이 제가 하고 싶은 전부입니다. 다른 인증서에 서명하기 위해 CA로 사용할 계획은 없습니다.

그러나 다른 인증서의 발급자로 신뢰 체인에 인증서를 추가하려는 경우 인증서는 CA여야 합니다. 그렇지 않으면 openssl에 의해 거부됩니다!

의 경우 certtool -i < mycert.crt다음을 확인해야 합니다.

    Extensions:
            Basic Constraints (critical):
                    Certificate Authority (CA): TRUE

-addext basicConstraints=critical,CA:TRUE,pathlen:1동일한 효과를 얻으려면 openssl 명령을 추가하거나 cnf 파일을 수정해 보십시오 .

또는 certtool을 사용하면 일회성 인증서 생성이 훨씬 쉽습니다.

certtool -p --outfile localhost.key
certtool -s --load-privkey localhost.key --outfile localhost.crt

그런 다음 프롬프트에 따라 인증서의 CN을 제공합니다. 인증 기관에 대한 것인지 물으면 "예"라고 대답하세요!

Answer

이 문제는 정확히 동일한 문제와 오류 메시지에 부딪혔지만 Openssl 대신 GNUTLS의 certtool을 사용하여 인증서를 생성했습니다.

내 문제는 CA로서 자체 서명된 인증서가 없다는 것입니다. 웹 서버 인증서로만 작동하도록 구성됩니다. 이것이 제가 하고 싶은 전부입니다. 다른 인증서에 서명하기 위해 CA로 사용할 계획은 없습니다.

그러나 다른 인증서의 발급자로 신뢰 체인에 인증서를 추가하려는 경우 인증서는 CA여야 합니다. 그렇지 않으면 openssl에 의해 거부됩니다!

의 경우 certtool -i < mycert.crt다음을 확인해야 합니다.

    Extensions:
            Basic Constraints (critical):
                    Certificate Authority (CA): TRUE

-addext basicConstraints=critical,CA:TRUE,pathlen:1동일한 효과를 얻으려면 openssl 명령을 추가하거나 cnf 파일을 수정해 보십시오 .

또는 certtool을 사용하면 일회성 인증서 생성이 훨씬 쉽습니다.

certtool -p --outfile localhost.key
certtool -s --load-privkey localhost.key --outfile localhost.crt

그런 다음 프롬프트에 따라 인증서의 CN을 제공합니다. 인증 기관에 대한 것인지 물으면 "예"라고 대답하세요!

Question 4

제공된 솔루션을 사용하면 trustme문제가 없었지만 학습 목적으로 인증서를 만드는 데 관심이 있는 사람이라면 다음 단계를 따르세요.

루트 CA를 만듭니다.

openssl req -x509 -sha256 -days 1825 -newkey rsa:2048 -keyout rootCA.key -out rootCA.crt

서버 개인 키를 생성합니다:
```
openssl genrsa -out localhost.key 2048
```

인증서 서명 요청을 생성합니다.

openssl req -key localhost.key -new -out localhost.csr

localhost.ext다음 내용으로 파일을 만듭니다 .
```
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
subjectAltName = @alt_names
[alt_names]
DNS.1 = localhost
```
이 파일에는 인증서에 대한 DNS 구성이 있습니다. URL의 이름이 인증서의 DNS와 일치하지 않으면 TLS 확인이 실패하므로 이는 중요합니다.

이전에 생성한 루트 CA를 사용하여 서버 인증서에 서명합니다.

openssl x509 -req -CA rootCA.crt -CAkey rootCA.key -in localhost.csr -out localhost.crt -days 365 -CAcreateserial -extfile localhost.ext

파일을 crt다음 pem형식으로 변환합니다:

openssl x509 -in localhost.crt -out localhost.pem
openssl x509 -in rootCA.crt -out rootCA.pem

이제 서버에서 및 를 사용할 수 있습니다 localhost.pem. localhost.key클라이언트는 rootCA.pem서버에 연결하는 데 사용해야 합니다.

내 경우에는 파일을 사용해야 합니다 jks. 파일 은 다음 pem과 같이 변환될 수 있습니다 jks:

//first convert it to pkcs12
openssl pkcs12 -export -in localhost.pem -inkey localhost.key -out serverCertificate.p12 -name "serverCertificate"

//then convert it from pkcs12 to jks
keytool -importkeystore -srckeystore serverCertificate.p12 -srcstoretype pkcs12 -destkeystore localhost.jks

다음 명령을 사용하여 키 저장소의 항목을 볼 수 있습니다.

keytool -keystore localhost.jks -list

localhost.jks서버에서 사용해야 하며 다음을 사용하여 연결을 테스트할 수 있습니다.

curl --cacert rootCA.pem https://localhost:<port>

인용하다:

Answer