双向 SSL 错误 - 400 仅针对客户端证书的 SSL 证书错误

Question 1

最终，我找到了问题的根源。我的设置存在两个问题。

a) 对于双向 SSL，中级 CA 签名的证书必须具有clientAuth（extendedKeyUsage感谢@dave_thompson_085），可以通过以下命令进行验证

$ openssl x509 -in /path/to/client/cert -noout -purpose | grep 'SSL client :'
SSL client : Yes

b）另外，缺少的是ssl_验证深度nginx 配置文件中的参数必须为或大于。将数字设为大于我的情况2没有多大意义，但它适用于除（默认值）之外的任何数字。有趣的是，这在 nginx v1.12.X 中不是必需的（我的同事使用完全相同的设置，不必指定这一点）。但是，在我使用此参数之前，它对我（nginx v1.13.5）不起作用。21

经过三天的摇头之后，我可以安然入睡了。

提示：不要依赖curl太多方法来解决双向 SSL 问题，openssl s_client而是尝试一下。curl有时会给出误导性的结果，请参阅这。我也在我的 Ubuntu 16.04 docker 容器中摸索了一段时间。

Answer

最终，我找到了问题的根源。我的设置存在两个问题。

a) 对于双向 SSL，中级 CA 签名的证书必须具有clientAuth（extendedKeyUsage感谢@dave_thompson_085），可以通过以下命令进行验证

$ openssl x509 -in /path/to/client/cert -noout -purpose | grep 'SSL client :'
SSL client : Yes

b）另外，缺少的是ssl_验证深度nginx 配置文件中的参数必须为或大于。将数字设为大于我的情况2没有多大意义，但它适用于除（默认值）之外的任何数字。有趣的是，这在 nginx v1.12.X 中不是必需的（我的同事使用完全相同的设置，不必指定这一点）。但是，在我使用此参数之前，它对我（nginx v1.13.5）不起作用。21

经过三天的摇头之后，我可以安然入睡了。

提示：不要依赖curl太多方法来解决双向 SSL 问题，openssl s_client而是尝试一下。curl有时会给出误导性的结果，请参阅这。我也在我的 Ubuntu 16.04 docker 容器中摸索了一段时间。

Question 2

当我的计算机（我颁发证书的地方）和我测试应用程序的 VM 时钟不同步时，我遇到了这个问题。因此valid_fromVM 尚未达到要求，检查一直失败，直到它突然开始工作（因为 VM 最终赶上了）。

通过将 nginx 上的日志详细程度增加到debug

error_log /var/log/nginx/error.log debug;

我在日志中收到了这条消息

2019/01/29 07:43:57 [info] 30280#0: *3 client SSL certificate verify error: (11:CRL is not yet valid) while reading client request headers, client: 192.168.56.1, server: frontapiserver, request: "GET / HTTP/1.1", host: "fe.dev"

并且在客户端我收到了400错误消息。

<html>
<head><title>400 The SSL certificate error</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<center>The SSL certificate error</center>
<hr><center>nginx</center>
</body>
</html>

Answer

当我的计算机（我颁发证书的地方）和我测试应用程序的 VM 时钟不同步时，我遇到了这个问题。因此valid_fromVM 尚未达到要求，检查一直失败，直到它突然开始工作（因为 VM 最终赶上了）。

通过将 nginx 上的日志详细程度增加到debug

error_log /var/log/nginx/error.log debug;

我在日志中收到了这条消息

2019/01/29 07:43:57 [info] 30280#0: *3 client SSL certificate verify error: (11:CRL is not yet valid) while reading client request headers, client: 192.168.56.1, server: frontapiserver, request: "GET / HTTP/1.1", host: "fe.dev"

并且在客户端我收到了400错误消息。

<html>
<head><title>400 The SSL certificate error</title></head>
<body bgcolor="white">
<center><h1>400 Bad Request</h1></center>
<center>The SSL certificate error</center>
<hr><center>nginx</center>
</body>
</html>

Question 3

openssl s_client -cert $file只能提供“该”客户端证书（单数，一个），而不是证书链；如果您未指定-key，也可以选择提供私钥，但仍然不能提供除客户端证书之外的任何证书。如果您将任何其他证书放入该文件中，它们将被完全忽略。

但 libssl 使用信任库中的证书来填充客户端的证书链此外其名义上的目的是验证服务器的证书链。阅读微妙而明确的话语手册页：

-CApath 目录

用于服务器证书验证的目录。此目录必须采用“哈希格式”，有关详细信息，请参阅验证。这些目录在构建客户端证书链时也会用到。

-CAfile 文件

包含服务器身份验证期间使用的以及尝试构建客户端证书链时使用的可信证书的文件。

由于您需要指定您的私有根来验证服务器链，如果您提供-CAfile一个包含您的根和中间的文件，那么两个方向都可以工作。

与其他一些将中间件放入信任库中会导致验证在该点停止的实现不同，OpenSSL 将使用信任库证书来完成不完整的接收链，但默认情况下仍会验证最多根来自信任库；要尽早停止，您必须指定-partial_chain（1.1.0 中的新功能）。

但是，我很惊讶地发现配置包含根和中间的服务器ssl_client_certificate不起作用。nginx 也使用 OpenSSL，正如我所说，libssl 将使用信任库中的中间来完成（但不验证）收到的链。因此，这种方法虽然不符合官方标准（发送方负责发送模根的完整链），但实际上应该有效。我稍后有机会时会尝试测试。

Answer