如何在 cURL 命令行中信任自签名证书？

Question 1

尝试-k：

curl -k https://yourhost/

它应该“接受”自签名证书

Answer

尝试-k：

curl -k https://yourhost/

它应该“接受”自签名证书

Question 2

按照以下步骤应该可以解决您的问题：

下载并保存自签名证书：echo quit | openssl s_client -showcerts -servername "${API_HOST}" -connect "${API_HOST}":443 > cacert.pem
告诉curl客户这件事：curl --cacert cacert.pem --location --silent https://${API_HOST}

还可以使用 wget 并忽略证书：wget --no-check-certificate https://${API_HOST}

Answer

按照以下步骤应该可以解决您的问题：

下载并保存自签名证书：echo quit | openssl s_client -showcerts -servername "${API_HOST}" -connect "${API_HOST}":443 > cacert.pem
告诉curl客户这件事：curl --cacert cacert.pem --location --silent https://${API_HOST}

还可以使用 wget 并忽略证书：wget --no-check-certificate https://${API_HOST}

Question 3

我遇到了这个问题，完全相同的问题和错误消息，但我使用 GNUTLS 的 certtool 来生成我的证书而不是 openssl。

我的问题是我没有将我的自签名证书设为 CA。它仅被配置为充当 Web 服务器证书。这就是我想要用它做的所有事情，我不打算将它用作 CA 来签署其他证书。

但是，当您想将一个证书作为其他证书的颁发者添加到信任链中时，该证书必须是 CA，否则会被 openssl 拒绝！

对于certtool -i < mycert.crt，我们需要看到这一点：

    Extensions:
            Basic Constraints (critical):
                    Certificate Authority (CA): TRUE

尝试添加-addext basicConstraints=critical,CA:TRUE,pathlen:1到 openssl 命令或修改 cnf 文件以达到相同的效果。

或者，使用 certtool，一次性证书生成要容易得多：

certtool -p --outfile localhost.key
certtool -s --load-privkey localhost.key --outfile localhost.crt

然后根据提示提供证书的 CN 等。当被问及是否用于证书颁发机构时，请说“是”！

Answer

我遇到了这个问题，完全相同的问题和错误消息，但我使用 GNUTLS 的 certtool 来生成我的证书而不是 openssl。

我的问题是我没有将我的自签名证书设为 CA。它仅被配置为充当 Web 服务器证书。这就是我想要用它做的所有事情，我不打算将它用作 CA 来签署其他证书。

但是，当您想将一个证书作为其他证书的颁发者添加到信任链中时，该证书必须是 CA，否则会被 openssl 拒绝！

对于certtool -i < mycert.crt，我们需要看到这一点：

    Extensions:
            Basic Constraints (critical):
                    Certificate Authority (CA): TRUE

尝试添加-addext basicConstraints=critical,CA:TRUE,pathlen:1到 openssl 命令或修改 cnf 文件以达到相同的效果。

或者，使用 certtool，一次性证书生成要容易得多：

certtool -p --outfile localhost.key
certtool -s --load-privkey localhost.key --outfile localhost.crt

然后根据提示提供证书的 CN 等。当被问及是否用于证书颁发机构时，请说“是”！

Question 4

使用提供的解决方案trustme效果很好，但如果有人有兴趣创建用于学习目的的证书，这些是对我有用的步骤：

创建根CA：

openssl req -x509 -sha256 -days 1825 -newkey rsa:2048 -keyout rootCA.key -out rootCA.crt

创建服务器私钥：
```
openssl genrsa -out localhost.key 2048
```

创建证书签名请求：

openssl req -key localhost.key -new -out localhost.csr

创建localhost.ext包含以下内容的文件：
```
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
subjectAltName = @alt_names
[alt_names]
DNS.1 = localhost
```
该文件具有证书的 DNS 配置。这很重要，因为如果 URL 中的名称与证书中的 DNS 不匹配，则 TLS 检查将无法通过。

使用之前创建的根 CA 签署服务器证书：

openssl x509 -req -CA rootCA.crt -CAkey rootCA.key -in localhost.csr -out localhost.crt -days 365 -CAcreateserial -extfile localhost.ext

将文件转换crt为以下pem格式：

openssl x509 -in localhost.crt -out localhost.pem
openssl x509 -in rootCA.crt -out rootCA.pem

现在您应该能够在服务器中使用localhost.pem和。localhost.key客户端应该使用rootCA.pem连接到服务器。

就我而言，我必须使用jks文件。该pem文件可以转换为jks如下：

//first convert it to pkcs12
openssl pkcs12 -export -in localhost.pem -inkey localhost.key -out serverCertificate.p12 -name "serverCertificate"

//then convert it from pkcs12 to jks
keytool -importkeystore -srckeystore serverCertificate.p12 -srcstoretype pkcs12 -destkeystore localhost.jks

可以使用以下命令查看密钥库中的条目：

keytool -keystore localhost.jks -list

应该localhost.jks在服务器中使用，并且可以使用以下方法测试连接：

curl --cacert rootCA.pem https://localhost:<port>

参考：

Answer