通过 Curl 访问时，在有效证书上获取 SSL 证书错误

Question 1

您没有提供网站的实际地址，也没有提供 SSL 提供商的名称或有关证书的任何其他信息，基本上是想让我们猜测各种可能的原因。

我的猜测是，您的证书链以“AddTrust External Root”作为最顶层 CA 结束，并且该根证书几个小时前刚刚过期。

证书所有者 Sectigo有图表链的 – 由于旧 CA 证书交叉签名了新证书，“AddTrust External Root”基本上是更高层级多于通常是公司的实际根 CA。新操作系统会将 Sectigo/Comodo 的证书视为自签名根 CA，而旧操作系统会将其视为 AddTrust Root 之下的中间 CA。

因此在旧的操作系统上仅有的通过 AddTrust Root CA 证书交叉签名来识别 Sectigo，一旦后者过期，整个链将失效。要解决此问题，您必须切换到这些系统识别为根的另一个 CA（检查/etc/ssl/certs）。

这些系统可能做承认 Sectigo 本身就是根 CA。理论上，证书通过多个链进行验证是完全合法的，例如，一个 CA 可以同时是根和由另一个 CA 交叉签名。

但在实践中，许多 TLS 客户端库在构建替代链方面确实很糟糕，并且假设始终只有一种方法来验证证书。（Windows 稍好一些，大型网络浏览器还包含代码来处理 TLS 库所提供的额外复杂性。）

例如，旧版本的 OpenSSL非常对于哪些证书可以充当信任根，OpenSSL 1.0 有严格的限制。如果服务器发送了“OldCA–NewCA–Intermediate–MyServer”链，OpenSSL 1.0 会仅有的如果您拥有“OldCA”作为受信任的证书，它就会接受它 - 但如果您拥有“NewCA”，它就不会足够智能地接受它。

因此，如果 Ubuntu 14.04 已经将 Sectigo 识别为证书颁发机构，那么您需要修复由您的 Web 服务器发送的证书链 - 我认为删除标有“Issuer: AddTrust”的证书就足够了。

假设旧的证书链如下所示：

[AddTrust External Root]                               [included in OS]
+-- USERTrust RSA Certification Authority (Sectigo)    sent by your server
    +-- Gandi Standard SSL CA 2                        sent by your server
        +-- git.kernel.org                             sent by your server

您需要对其进行编辑，以便您的服务器停止发送交叉签名的 USERTrust 证书：

[USERTrust RSA Certification Authority (Sectigo)]      [included in OS]
+-- Gandi Standard SSL CA 2                            sent by your server
    +-- git.kernel.org                                 sent by your server

您也可以在客户端修复此问题，通过删除 AddTrust 根 CA。

Answer