জিনু / লিনাক্স কীভাবে এমন একটি শংসাপত্রকে বিশ্বাসী করে তুলবে যা উইন্ডোজ-এর বাইরে বাক্সের দ্বারা বিশ্বাসযোগ্য?

Question

এই এসএসএল চেক দ্বারা রিপোর্ট করা হিসাবে একটি ভাঙা এসএসএল চেইনযুক্ত একটি সার্ভার রয়েছে :

আমি জানি এটি একটি সমস্যা যা নিজে থেকেই সার্ভারে সমাধান করা উচিত তবে কখনও কখনও এটি সমাধান করা শক্ত হয় (আমি সার্ভারের প্রশাসক নই)।

কথাটি হ'ল, উইন্ডোজের ক্রোম / মজিলা / এজ যাইহোক সাইটের শংসাপত্রকে বিশ্বাস করে :

তবে, একটি Gnu / লিনাক্স স্থাপনায় (উবুন্টু 18.04 ডকারে) শংসাপত্রটি বিশ্বাসযোগ্য নয় :

curl: (60) SSL certificate problem: unable to get local issuer certificate

আমি চেষ্টা করেছি update-ca-certificatesএমনকি গ্লোবালসাইন রুট শংসাপত্রটি আমদানি করেছি। update-ca-certificatesএই ক্ষেত্রে একটি সদৃশ শংসাপত্র রিপোর্ট। যাইহোক, কিছুই কাজ করে না।

কিভাবে পুনরুত্পাদন

ডকার ব্যবহার:

docker run -it ubuntu:18.04

# within container:
apt-get update
apt-get -y install curl
curl https://betriebsheft.vog.it  # <---- "unable to get local issuer certificate"

আমি কীভাবে Gnu / Linux- কে এই শংসাপত্রের উপর আস্থা রাখতে পারি?

PS: একই শংসাপত্রটি অন্য সার্ভারে সঠিকভাবে স্থাপন করা হয়েছে ।

Comments

ডাউনটা কেন?

— উদো জি

আমি এই প্রশ্নটিকে অফ-টপিক হিসাবে বন্ধ করতে ভোট দিচ্ছি কারণ ওপি এমন কিছু জিজ্ঞাসা করছে যা সে নিজেকে প্রভাবিত করতে পারে না। তিনি বলেছিলেন যে তিনি সার্ভার-সাইডটি কোনও কিছুই সংশোধন করতে পারবেন না , সুতরাং এটি সম্ভবত আমার মনে হয় সুপারইজারের অন্তর্গত, কারণ এটি কোনও সমস্যার ক্লায়েন্ট-সাইড থাকার সমস্যা বর্ণনা করে।

— লিনাক্সসিকিউরিটিফ্রেক 14

আমি বিশেষভাবে ক্লায়েন্ট-সাইড সমাধানের জন্য বলছি । আমি সার্ভারকে প্রভাবিত করতে পারি না, তবে ক্লায়েন্ট ও / এস (উবুন্টু) এর উপরে আমার সম্পূর্ণ নিয়ন্ত্রণ রয়েছে এবং আমি চাই এই নির্দিষ্ট ও / এস ইনস্টলেশনটি অন্যান্য ও / এস (উইন্ডোজ) এর মতো শংসাপত্রের উপর বিশ্বাস রাখুক। এটি অন্যের জন্য এইচটিটিপিএস সাইট ঠিক করার বিষয়ে নয়।

— উদো জি

প্রশ্নটি হল * নিক্স সিস্টেম এবং এর মধ্যে প্যাকেজযুক্ত অ্যাপ্লিকেশনগুলি ব্যবহার / পরিচালনা

— ইউডো জি

আপনি সার্ভারটি নিয়ন্ত্রণ করেন না তবে আপনি এখনও সেই সমস্যাটি সেই ব্যক্তিকে জানাতে পারেন যিনি সার্ভারটি নিয়ন্ত্রণ করেন।

— মাইকেল হ্যাম্পটন

Answer 1

এর প্রকৃত স্থিরতা হ'ল আপনার সার্ভারটি শৃঙ্খলে সমস্ত শংসাপত্র উপস্থাপিত করে কেবল শেষ সত্তা (সার্ভার) শংসাপত্র নয়।

আপনার সার্ভার প্রশাসককে আরএফসি 5246 ধারা 7.4.2-এ নির্দেশ করুন যা পরিষ্কারভাবে জানিয়েছে যে এই বার্তাটি ক্লায়েন্টকে সার্ভারের শংসাপত্র শৃঙ্খলা পৌঁছে দেয়।

---

যদি আপনার প্রশাসক কোনও কারণে এটি অস্বীকার করে / না করতে পারেন তবে আপনার বিকল্প বিকল্পটি হ'ল curlদূষিত হ্যান্ডশেক দিয়ে চেষ্টা করা এবং কাজ করা।

কার্ল মেলিং তালিকার একটি বার্তা অনুসারে:

সিআরএল যদি মধ্যবর্তী শংসাপত্র সমর্থন করে (বা না) তবে কেউ কি নিশ্চিত করতে পারবেন?

হ্যাঁ এটা করে. সমস্ত সিএ শংসাপত্রের একটি শংসাপত্র শৃঙ্খলা রুট পর্যন্ত যাচ্ছে। আপনি কার্ল সাথে সিএ বান্ডেলটি ব্যবহার করেন পুরো চেইনের জন্য শংসাপত্রগুলি থাকা দরকার to

/ daniel.haxx.se

আপনার রুট সিএ এবং সমস্ত মধ্যস্থতা শংসাপত্রগুলি একটি বান্ডলে যুক্ত করতে সক্ষম হবেন এবং বিকল্পটি curlব্যবহার করে এটিতে নির্দেশ করুন --cacert <file>।

আপনার ব্রাউজারগুলি কাজ করার সাথে সাথে আপনি সেখান থেকে সঠিক সিএ শংসাপত্রগুলি অ্যাক্সেস করতে পারেন। শংসাপত্র ট্যাবে (প্রতিটি ব্রাউজারের জন্য পৃথক, তবে আমি নিশ্চিত যে আপনি এটিটি খুঁজে বের করবেন), শংসাপত্র শৃঙ্খলাটি দেখুন। দুবার-ক্লিক করুন রুট সিএ প্রথম Globalsign রুট সিএ - G1 এবং এর বিবরণ ট্যাব এ ক্লিক করুন ফাইল অনুলিপি করুন ... । এটি হিসাবে সংরক্ষণ করুন root.cer। আলফাএসএল সিএ - SHA256 - জি 2 দিয়ে একই করুন এবং এটি হিসাবে সংরক্ষণ করুন issuing.cer। দু'জনকে একটি একক ফাইলে (যেমন chain.cer) যুক্ত করুন এবং যুক্তি হিসাবে এটি ব্যবহার করুন -cacert।

@AB দ্বারা বিনীতভাবে নির্দেশিত হিসাবে অনুপস্থিত শংসাপত্রও এখানে পাওয়া যাবে ।

---

আপনার ব্রাউজারগুলি কাজ করে কারণ তারা CA শংসাপত্রগুলি ক্যাশে করে। আপনি যদি অতীতে কোনও সময়ে সঠিকভাবে কনফিগার করা ওয়েবসাইটে নেভিগেট করে থাকেন, যার শংসাপত্রটি আপনার সার্ভারের শংসাপত্রের মতো একই সিএ দ্বারা জারি করা হয়েছিল, এটি ব্রাউজার দ্বারা ক্যাশে হবে। পরে আপনি যখন আপনার ভুলভাবে কনফিগার করা সাইটটি পরিদর্শন করেন, তখন আপনার ব্রাউজারটি শৃঙ্খলা তৈরির জন্য তার ক্যাশে সিএ শংসাপত্রগুলি ব্যবহার করবে। আপনার কাছে মনে হচ্ছে সবকিছু ঠিক আছে, যদিও পর্দার পিছনে সার্ভারটি ভুলভাবে কনফিগার করা হয়েছে।

নোট করুন যে উইন্ডোজ, আইই / এজ এবং ক্রোমে একই ক্যাশে ভাগ করে নেওয়ার সময় ফায়ারফক্স তার নিজস্ব ব্যবহার করে।

উপরোক্তগুলি ছাড়াও, আইই / এজ এবং ক্রোম (যেমন তারা একই ক্রিপ্টো স্ট্যাকটি ভাগ করে নেয়) অথরিটিআইফরমেশনঅ্যাক্সেস নামে পরিচিতিগুলির শংসাপত্রের মধ্যে একটি এক্সটেনশন ব্যবহার করবে । এই হয়েছে caIssuer বিকল্প যা URL টি থেকে শেষ-সত্তা শংসাপত্র এর CA শংসাপত্র ডাউনলোড করা যাবে প্রদান করে। অতএব, এমনকি যদি এই ব্রাউজারগুলির মধ্যে একটিও পূর্ববর্তী ব্রাউজিং থেকে অনুপস্থিত শংসাপত্রগুলি ক্যাশে না করে, প্রয়োজনে এটি এটি আনতে পারে। নোট করুন যে ফায়ারফক্স এটি করে না, তাই যখনই আইআই / এজ এবং ক্রোম কাজ করে বলে ফায়ারফক্স শংসাপত্রের ত্রুটিগুলি প্রদর্শন করতে পারে।

Comments

এটি আমার সার্ভার নয়, সুতরাং সার্ভার-সাইডের কোনও কিছুই সংশোধন করতে পারে না। আমি curl.haxx.se/docs/caextract.html (যেহেতু ফায়ারফক্স শংসাপত্রকে বিশ্বাস করে) থেকে সিএ বান্ডেলটি ব্যবহার করার চেষ্টা করেছি এবং এটি ব্যবহার করে পাস করেছি --cacert cacert.pemতবে সিআরএল এখনও শংসাপত্রটি গ্রহণ করে না।

— উদো জি

এটা তোলে হয় আপনার সার্ভারে। চালান echo q | openssl s_client -showcerts -connect betriebsheft.vog.it:443এবং আপনি দেখতে পাবেন যে কেবলমাত্র একটি শংসাপত্র আপনার সার্ভার দ্বারা উপস্থাপিত হচ্ছে। দুটি থাকতে হবে - শেষ সত্তার শংসাপত্র (যা উপস্থাপিত হয়) এবং জারি করা CA - আলফা এসএসএল - SHA256 - জি 2 শংসাপত্র। আধুনিক সার্ভার দ্বারা প্রেরণ করা হচ্ছে না, কিন্তু উচিত।

— গ্যারেথ TheRed

@ গ্যারেথ দ্য রেড: আমি বুঝতে পেরেছি যে সার্ভারটি সমস্ত শংসাপত্র উপস্থাপন করে না, তবে সার্ভারটি আমার নিয়ন্ত্রণাধীন নয় ( এটিই "আমার সার্ভার নয়" দিয়ে বোঝানো হয়েছিল)। আমি কেবল একটি বিদেশী সার্ভারে একটি এপিআই অ্যাক্সেস করার চেষ্টা করছি। উইন্ডোজের অধীনে, আমার ব্রাউজারগুলির কোনও শংসাপত্র সম্পর্কে অভিযোগ করে না, কেবল লিনাক্স / ডেবিয়ান / উবুন্টু করে।

— উদো জি

@ এএবি: অনেক অনেক ধন্যবাদ! এই পৃষ্ঠা থেকে সমস্ত মূল শংসাপত্র ইনস্টল করা সমস্যার সমাধান করেছে । তবে, কেন সেই ম্যানুয়াল পদক্ষেপটি প্রয়োজনীয় তা আমি বুঝতে চাই।

— উদো জি

অন্তর্ভুক্ত ইন্টারমিডিয়েট সার্ট (@garethTheRed দ্বারা উল্লিখিত হিসাবে) পাওয়া যাবে: সমর্থন . globalsign.com/customer/portal/articles/… । ওপি প্রথমে কেবলমাত্র মূল শংসাপত্রটি যুক্ত করার চেষ্টা করেছিল যা সম্ভবত ইতিমধ্যে ছিল, সুতরাং কিছুই অর্জন করতে পারেনি।

— এবি