Impossibile risolvere "impossibile ottenere il certificato emittente locale" utilizzando git su Windows con certificato autofirmato

Sto usando Git su Windows. Ho installato il pacchetto msysGit. Il mio repository di test ha un certificato autofirmato sul server. Posso accedere e utilizzare il repository tramite HTTP senza problemi. Passare a HTTPS dà l'errore:

Problema certificato SSL: impossibile ottenere il certificato emittente locale.

Ho il certificato autofirmato installato nelle autorità di certificazione radice affidabili del mio computer client Windows 7. Posso accedere all'URL del repository HTTPS in Internet Explorer senza messaggi di errore.

Questo post sul blog di Philip Kelley ha spiegato che cURL non utilizza l'archivio certificati della macchina client. Ho seguito il consiglio del post sul blog per creare una copia privata di curl-ca-bundle.crte configurare Git per usarlo. Sono sicuro che Git sta usando la mia copia. Se rinominassi la copia; Git si lamenta che il file non sia presente.

Ho incollato il mio certificato, come menzionato nel post del blog, ricevo ancora il messaggio "impossibile ottenere il certificato emittente locale".

Ho verificato che Git funzionava ancora clonando un repository GitHub tramite HTTPS.

L'unica cosa che vedo che è diversa dal post sul blog è che il mio certificato è il root - non c'è catena per raggiungerlo. Il mio certificato originariamente proveniva dal clic sul collegamento Gestione IIS8 IIS 'Crea certificato autofirmato'. Forse questo rende un certificato diverso in qualche modo da ciò che cURL si aspetta.

Come posso ottenere Git / cURL per accettare il certificato autofirmato?

Apri Git Bash ed esegui il comando se desideri disabilitare completamente la verifica SSL.

git config --global http.sslVerify false

Nota: questa soluzione potrebbe aprirti ad attacchi come gli attacchi man-in-the-middle . Pertanto riattiva la verifica il prima possibile:

git config --global http.sslVerify true

Il problema è che git di default usa il backend crittografico "Linux".

A partire da Git per Windows 2.14, ora puoi configurare Git per usare SChannel, il livello di rete di Windows integrato come back-end crittografico. Ciò significa che utilizzerà il meccanismo di archiviazione dei certificati di Windows e non è necessario configurare esplicitamente il meccanismo di archiviazione CA arricciato: https://msdn.microsoft.com/en-us/library/windows/desktop/aa380123(v= vs.85) aspx

Esegui solo:

git config --global http.sslbackend schannel

Questo dovrebbe aiutare.

L'uso di schannel è ormai l'impostazione standard quando si installa git per Windows, inoltre si consiglia di non verificare più i repository da SSH, se possibile, poiché https è più facile da configurare e meno probabilità di essere bloccato da un firewall significa meno possibilità di errore.

Ho avuto anche questo problema. Nel mio caso, stavo cercando di ottenere un hook Git post-ricezione per aggiornare una copia funzionante su un server con ogni push. Ho provato a seguire le istruzioni nel blog a cui ti sei collegato. Non ha funzionato anche per me e non ha funzionato neanche l'override delle impostazioni per utente.

Quello che ho dovuto fare è stato disabilitare la verifica SSL (come menzionato nell'articolo) per Git nel suo insieme. Non è la soluzione perfetta, ma funzionerà fino a quando non riuscirò a trovarne una migliore.

Ho modificato il file di testo di configurazione di Git (con la mia app neutra di fine linea preferita come Notepad ++) che si trova in:

C: \ Programmi (x86) \ Git \ etc \ gitconfig

Nel blocco [http], ho aggiunto un'opzione per disabilitare sslVerify. Sembrava così quando avevo finito:

[http]
    sslVerify = false
    sslCAinfo = /bin/curl-ca-bundle.crt

Questo ha funzionato.

NOTA:

• Questo disabilita la verifica SSL e non è raccomandato come soluzione a lungo termine.

• È possibile disabilitare questo repository che non è ancora eccezionale, ma localizza l'impostazione.

• Con l'avvento di LetsEncrypt.org, ora è abbastanza semplice, automatizzato e gratuito impostare SSL come alternativa ai certificati autofirmati e annulla la necessità di disattivare sslVerify.

kiddailey Penso che fosse abbastanza vicino, tuttavia non disabiliterei la verifica SSL ma piuttosto il certificato locale:

Nel file di configurazione di Git

[http]
    sslCAinfo = /bin/curl-ca-bundle.crt

O tramite riga di comando:

git config --global http.sslCAinfo /bin/curl-ca-bundle.crt

Ho affrontato anche questo problema. E finalmente risolto ottenendo indicazioni da questo blog MSDN .

Aggiornare

In realtà è necessario aggiungere il certificato nel file dei certificati di git curl-ca-bundel.cert che risiede nella directory Git \ bin.

passi

1. Apri la tua pagina github nel browser e fai clic sull'icona di blocco nella barra degli indirizzi.
2. Nella finestra popup visualizzata verso l'alto, vai al link "Visualizza certificato", si aprirà una finestra popup.
3. In cui passare alla scheda certificati (3 ° nel mio caso). Seleziona il nodo principale che è il certificato radice. E premere il pulsante Copia certificato in fondo e salvare il file.
4. In Esplora file, vai alla directory Git \ bin e apri curl-ca-bundle.crt nell'editor di testo.
5. Aprire anche il file del certificato esportato (nel passaggio 3) nell'editor di testo.
6. Copia tutto il contenuto dal certificato esportato alla fine di curl-ca-bundle.crt e salva.

Infine controlla lo stato. Si prega di notare che il backup curl-ca-bundle.crt file prima della modifica per rimanere sul sicuro.

La risposta a questa domanda Usando makecert per lo sviluppo SSL mi ha risolto questo problema.

Non so perché, ma il certificato creato dal semplice collegamento "Crea certificato autofirmato" in Gestione IIS non funziona. Ho seguito l'approccio nella domanda collegata di creazione e installazione di una radice CA autofirmata; quindi usarlo per emettere un certificato di autenticazione server per il mio server. Li ho installati entrambi in IIS.

Ciò porta la mia situazione allo stesso modo del post sul blog a cui fa riferimento la domanda originale. Una volta che il certificato radice è stato copiato / incollato in curl-ca-bundle.crt, la combo git / curl è stata soddisfatta.

Per evitare di disabilitare completamente la verifica SSL o duplicare / hackerare il file di certificato CA in bundle utilizzato da git, è possibile esportare la catena di certificati dell'host in un file e fare in modo che git lo usi:

git config --global http.https://the.host.com/.sslCAInfo c:/users/me/the.host.com.cer

Se ciò non funziona, puoi disabilitare la verifica ssl solo per l'host:

git config --global http.https://the.host.com/.sslVerify false

Nota: sottoposto a possibili attacchi man in the middle quando la verifica ssl è disattivata.

Ho appena avuto lo stesso problema, ma usando sourcetree su Windows Stessi passi per GIT normale anche su Windows. Seguendo i seguenti passaggi sono stato in grado di risolvere questo problema.

1. Ottieni l'albero dei certificati del server Questo può essere fatto usando Chrome. Navigare per essere l'indirizzo del server. Fare clic sull'icona del lucchetto e visualizzare i certificati. Esporta tutta la catena di certificati in formato PEM (file con codifica base64).
2. Aggiungi i certificati alla catena di fiducia del tuo file di configurazione di fiducia GIT Esegui "git config --list". trova la configurazione "http.sslcainfo" che mostra dove si trova il file di attendibilità del certificato. Copia tutti i certificati nel file della catena di fiducia inclusi "- -BEGIN- -" e "- -END- -".
3. Assicurati di aggiungere l'intera catena di certificati al file dei certificati

Ciò dovrebbe risolvere il problema con i certificati autofirmati e l'utilizzo di GIT.

Ho provato a utilizzare la configurazione "http.sslcapath" ma questo non ha funzionato. Anche se non includessi l'intera catena nel file dei certificati, anche questo fallirebbe. Se qualcuno ha dei suggerimenti su questi, fammi sapere perché quanto sopra deve essere ripetuto per una nuova installazione.

Se questo è GIT di sistema, è possibile utilizzare le opzioni in STRUMENTI -> scheda Opzioni GIt per utilizzare GIT di sistema e questo risolve anche il problema in sourcetree.

In caso di repository github (o di eventuali certificati autofirmati) , scegliendo di seguito durante l'installazione di Git-on-windows, il problema è stato risolto.

Ho già riscontrato questo problema e risolverlo utilizzando la seguente configurazione.

[http "https://your.domain"] sslCAInfo=/path/to/your/domain/priviate-certificate

Da git 2.3.1, puoi inserire https://your.domaindopo http per indicare che il seguente certificato è solo per esso.

1. Scarica il certificato da questo link: https://github.com/bagder/ca-bundle
2. Aggiungilo a C:\Program Files\Git\bin eC:\Program Files\Git\mingw64\bin

Quindi prova qualcosa del tipo: git clone https://github.com/heroku/node-js-getting-started.git

Una cosa che mi ha incasinato è stato il formato del percorso (sul mio PC Windows). Inizialmente avevo questo:

git config --global http.sslCAInfo C:\certs\cacert.pem

Ma ciò non è riuscito con l'errore "impossibile ottenere il certificato dell'emittente locale".

Ciò che alla fine ha funzionato è stato questo:

git config --global http.sslCAInfo "C:\\certs\\cacert.pem"

Nel mio caso, poiché ho installato ConEmu Terminal per Windows 7, crea l' ca-bundleinstallazione durante C:\Program Files\Git\mingw64\ssl\certs.

Quindi, devo eseguire i seguenti comandi sul terminale per farlo funzionare:

$ git config --global http.sslbackend schannel
$ git config --global http.sslcainfo /mingw64/ssl/certs/ca-bundle.crt

Quindi, il mio C:\Program Files\Git\etc\gitconfigcontiene quanto segue:

[http]
    sslBackend = schannel
    sslCAinfo = /mingw64/ssl/certs/ca-bundle.crt

Inoltre, ho scelto la stessa opzione menzionata qui durante l'installazione di Git.

Spero che aiuti!

Per correggere l'errore specifico del certificato SSL: impossibile ottenere il certificato dell'emittente locale in git

Ho avuto lo stesso problema con i certificati Let's Encrypt.

Un sito web con https ci serve solo:

SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ma git pull dice:

fatal: unable to access 'https://example.com/git/demo.git/': SSL certificate problem: unable to get local issuer certificate

Per risolverlo, dobbiamo anche aggiungere:

SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem

Utilizzare questo comando prima di eseguire l'aggiornamento / installazione del compositore:

git config --global http.sslverify false