curl: (60) Problema certificato SSL: impossibile ottenere il certificato emittente locale

root@sclrdev:/home/sclr/certs/FreshCerts# curl --ftp-ssl --verbose ftp://{abc}/ -u trup:trup --cacert /etc/ssl/certs/ca-certificates.crt
* About to connect() to {abc} port 21 (#0)
*   Trying {abc}...
* Connected to {abc} ({abc}) port 21 (#0)
< 220-Cerberus FTP Server - Home Edition
< 220-This is the UNLICENSED Home Edition and may be used for home, personal use only
< 220-Welcome to Cerberus FTP Server
< 220 Created by Cerberus, LLC
> AUTH SSL
< 234 Authentication method accepted
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: /etc/ssl/certs
* SSLv3, TLS handshake, Client hello (1):
* SSLv3, TLS handshake, Server hello (2):
* SSLv3, TLS handshake, CERT (11):
* SSLv3, TLS alert, Server hello (2):
* SSL certificate problem: unable to get local issuer certificate
* Closing connection 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: http://curl.haxx.se/docs/sslcerts.html

curl performs SSL certificate verification by default, using a "bundle"
 of Certificate Authority (CA) public keys (CA certs). If the default
 bundle file isn't adequate, you can specify an alternate file
 using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
 the bundle, the certificate verification probably failed due to a
 problem with the certificate (it might be expired, or the name might
 not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
 the -k (or --insecure) option.

Relativo all'errore "Certificato SSL: impossibile ottenere il certificato dell'emittente locale". È importante notare che ciò si applica al sistema che invia la richiesta CURL e NON al server che riceve la richiesta.

1. Scarica l'ultimo cacert.pem da https://curl.haxx.se/ca/cacert.pem

2. Aggiungi la seguente riga a php.ini: (se si tratta di hosting condiviso e non hai accesso a php.ini, puoi aggiungerlo a .user.ini in public_html).

   curl.cainfo="/path/to/downloaded/cacert.pem"

   Assicurati di racchiudere il percorso tra virgolette doppie !!!

3. Per impostazione predefinita, il processo FastCGI analizzerà i nuovi file ogni 300 secondi (se necessario, è possibile modificare la frequenza aggiungendo un paio di file come suggerito qui https://ss88.uk/blog/fast-cgi-and-user-ini- files-the-new-htaccess / ).

Non riesce poiché cURL non è in grado di verificare il certificato fornito dal server.

Esistono due opzioni per farlo funzionare:

1. Utilizzare cURL con l' -kopzione che consente all'arricciatura di stabilire connessioni non sicure, ovvero cURL non verifica il certificato.

2. Aggiungere la CA principale (la CA che firma il certificato del server) a /etc/ssl/certs/ca-certificates.crt

È necessario utilizzare l'opzione 2 in quanto è l'opzione che garantisce la connessione al server FTP sicuro.

Ho risolto questo problema aggiungendo un codice di riga nello script cURL:

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);

Attenzione : questo rende la richiesta assolutamente insicura (vedi risposta di @YSU)!

Nel mio caso si è rivelato un problema con l'installazione del mio certificato sul servizio che stavo cercando di consumare con cURL. Non sono riuscito a raggruppare / concatenare i certificati intermedi e root nel mio certificato di dominio . All'inizio non era ovvio che questo era il problema perché Chrome ha risolto il problema e ha accettato il certificato nonostante avesse omesso i certificati intermedi e root.

Dopo aver raggruppato il certificato, tutto ha funzionato come previsto. Ho raggruppato in questo modo

$ cat intermediate.crt >> domain.crt

E ripetuto per tutti i certificati intermedi e root.

Per me, la semplice installazione di certificati ha aiutato:

sudo apt-get install ca-certificates

Ha avuto questo problema dopo l'installazione di Git Extensions v3.48. Ho provato a installare di nuovo mysysgit ma lo stesso problema. Alla fine, ho dovuto disabilitare (si prega di considerare le implicazioni di sicurezza!) Verifica SSL Git con:

git config --global http.sslVerify false

ma se hai un certificato di dominio, aggiungilo a (Win7)

C:\Program Files (x86)\Git\bin\curl-ca-bundle.crt

Abbiamo riscontrato questo errore di recente. Si scopre che era correlato al fatto che il certificato root non veniva installato correttamente nella directory dell'archivio CA. Stavo usando un comando curl in cui stavo specificando direttamente la dir della CA. curl --cacert /etc/test/server.pem --capath /etc/test ...Questo comando falliva ogni volta con curl: (60) Problema certificato SSL: impossibile ottenere il certificato emittente locale.

Dopo aver usato strace curl ... , è stato determinato che curl stava cercando il file di certificato root con un nome di 60ff2731.0, basato su una convinzione di denominazione dell'hash di openssl. Quindi ho trovato questo comando per importare correttamente il certificato root correttamente:

ln -s rootcert.pem `openssl x509 -hash -noout -in rootcert.pem`.0

che crea un softlink

60ff2731.0 -> rootcert.pem

curl, sotto le copertine leggere il cert server.pem, ha determinato il nome del file cert root (rootcert.pem), lo ha convertito nel suo nome di hash, quindi ha fatto una ricerca del file del sistema operativo, ma non è riuscito a trovarlo.

Quindi, è da asporto, usare strace quando si esegue l'arricciatura quando l'errore di arricciatura è oscuro (è stato un grande aiuto), quindi assicurarsi di installare correttamente il certificato root usando la convenzione di denominazione openssl.

Molto probabilmente è un certificato mancante dal server.

Root> Intermediate> Server

Un server dovrebbe inviare almeno Server e Intermedio.

Utilizzare openssl s_client -showcerts -starttls ftp -crlf -connect abc:21per eseguire il debug del problema.

Se viene restituito un solo certificato (autofirmato o emesso), è necessario scegliere di:

1. avere il server riparato
2. fidati di quel certificato e aggiungilo al tuo negozio di certificati CA (non è la migliore idea)
3. disabilitare la fiducia, ad es. curl -k(pessima idea)

Se il server ha restituito, più di uno, ma non includendo un certificato autofirmato (root):

1. installa il certificato CA (root) nel tuo archivio CA per questa catena, ad esempio google emittente. ( SOLO se ti fidi di quella CA)
2. far riparare il server per inviare la CA come parte della catena
3. fidati di un certificato nella catena
4. disabilitare la fiducia

Se il server ha restituito un certificato CA radice, non si trova nel tuo archivio CA, le opzioni sono:

1. Aggiungi (fidati)
2. disabilitare la fiducia

Ho ignorato i certificati scaduti / revocati perché non c'erano messaggi che lo indicano. Ma puoi esaminare i certificati conopenssl x509 -text

Dato che ti stai collegando a una versione home ( https://www.cerberusftp.com/support/help/installing-a-certificate/ ) server ftp, sto per dire che è autofirmato.

Si prega di pubblicare maggiori dettagli, come l'output di openssl.

Secondo i documenti cURL puoi anche passare il certificato al curlcomando:

Ottieni un certificato CA in grado di verificare il server remoto e utilizza l'opzione appropriata per segnalare questo certificato CA per la verifica durante la connessione. Per gli libcurlhacker:curl_easy_setopt(curl, CURLOPT_CAPATH, capath);

Con lo strumento linea di comando arricciatura: --cacert [file]

Per esempio:

curl --cacert mycertificate.cer -v https://www.stackoverflow.com

Potrebbe essere sufficiente aggiornare solo l'elenco dei certificati

sudo update-ca-certificates -f

update-ca-certificati è un programma che aggiorna la directory / etc / ssl / certs per contenere i certificati SSL e genera ca-certificati.crt, un elenco di certificati concatenato a file singolo.

Prova a reinstallare curl in Ubuntu e ad aggiornare i miei certificati CA con i sudo update-ca-certificates --freshquali ho aggiornato i certificati

Su Windows avevo questo problema. Curl è stato installato da mysysgit, quindi il download e l'installazione della versione più recente hanno risolto il mio problema.

Altrimenti si tratta di istruzioni decenti su come aggiornare il certificato CA che potresti provare.

Sì, è necessario aggiungere anche un certificato CA. Aggiunta di uno snippet di codice in Node.js per una visualizzazione chiara.

var fs = require(fs)
var path = require('path')
var https = require('https')
var port = process.env.PORT || 8080;
var app = express();

https.createServer({
key: fs.readFileSync(path.join(__dirname, './path to your private key/privkey.pem')),
cert: fs.readFileSync(path.join(__dirname, './path to your certificate/cert.pem')),
ca: fs.readFileSync(path.join(__dirname, './path to your CA file/chain.pem'))}, app).listen(port)

Ho riscontrato anche questo problema. Ho letto questa discussione e la maggior parte delle risposte sono informative ma per me eccessivamente complesse. Non ho esperienza in argomenti di networking, quindi questa risposta è per persone come me.

Nel mio caso, questo errore si è verificato perché non includevo i certificati intermedi e root accanto al certificato che stavo usando nella mia applicazione.

Ecco cosa ho ottenuto dal fornitore del certificato SSL:

- abc.crt
- abc.pem
- abc-bunde.crt

Nel abc.crtfile c'era un solo certificato:

-----BEGIN CERTIFICATE-----
/*certificate content here*/
-----END CERTIFICATE-----

Se lo fornissi in questo formato, il browser non mostrerebbe alcun errore (Firefox) ma otterrei curl: (60) SSL certificate : unable to get local issuer certificate errore quando ho fatto la richiesta di arricciatura.

Per correggere questo errore, controlla il tuo abc-bunde.crtfile. Molto probabilmente vedrai qualcosa del genere:

-----BEGIN CERTIFICATE-----
/*additional certificate content here*/
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
/*other certificate content here*/
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
/*different certificate content here*/
-----END CERTIFICATE-----

Questi sono i certificati intermedi e root. Si è verificato un errore perché mancano nel certificato SSL che stai fornendo alla tua applicazione.

Per correggere l'errore, combina il contenuto di entrambi questi file in questo formato:

-----BEGIN CERTIFICATE-----
/*certificate content here*/
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
/*additional certificate content here*/
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
/*other certificate content here*/
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
/*different certificate content here*/
-----END CERTIFICATE-----

Si noti che non ci sono spazi tra i certificati, alla fine o all'inizio del file. Dopo aver fornito questo certificato combinato all'applicazione, il problema dovrebbe essere risolto.

Su windows - se corri da cmd

> curl -X GET "https://some.place"

Scarica cacert.pem da https://curl.haxx.se/docs/caextract.html

Imposta variabile d'ambiente:

CURL_CA_BUNDLE = C:\Program Files\curl-7.57.0\src\cacert.pem

e ricaricare l'ambiente

refreshenv

Ora riprova

Motivo del problema: https://laracasts.com/discuss/channels/general-discussion/curl-error-60-ssl-certificate-problem-unable-to-get-local-issuer-certificate/replies/95548

Il mio caso era diverso. Sto ospitando un sito dietro un firewall. L'errore è stato causato da pfSense.

Network layout: |Web Server 10.x.x.x| <-> |pfSense 49.x.x.x| <-> |Open Internet|

Ho trovato la causa per errore, grazie a questa risposta .

Va tutto bene quando ho effettuato l'accesso al mio sito da WAN.

Tuttavia, quando si accedeva al sito dall'interno della LAN (ad es. Quando Wordpress ha effettuato una curlrichiesta al proprio server, nonostante l'utilizzo dell'IP WAN49.x.x.x ), veniva servita la pagina di login di pfSense.

Ho identificato il certificato come pfSense webConfigurator Self-Signed Certificate. Nessuna meraviglia ha curlgettato un errore.

Causa: ciò che è accaduto è curlstato l'utilizzo dell'indirizzo IP WAN del sito 49.x.x.x. Ma, nel contesto del server Web, l'IP WAN era il firewall.

Debug: ho scoperto che stavo ottenendo il certificato pfSense.

Soluzione: sul server che ospita il sito, punta il proprio nome di dominio su 127.0.0.1

Applicando la soluzione, curlla richiesta è stata gestita correttamente dal server Web e non è stata inoltrata al firewall che ha risposto inviando la pagina di accesso.

Questo è un problema con l'archivio certificati ssh. È necessario scaricare il file pem di certificato valido dal sito Web della CA di destinazione, quindi creare il file di collegamento software per indicare a ssl il certificato attendibile.

openssl x509 -hash -noout -in DigiCert_Global_Root_G3.pem

otterrete dd8e9d41

crea un solf link con un numero di hash e aggiungi il file con un .0 (punto-zero)

dd8e9d41.0

Quindi riprovare.

1. Scarica https://curl.haxx.se/ca/cacert.pem

2. Dopo il download, sposta questo file sul tuo server Wamp.

   Per exp: D: \ wamp \ bin \ php \

3. Quindi aggiungi la seguente riga al file php.ini in fondo.

curl.cainfo = "D: \ wamp \ bin \ php \ cacert.pem"

4. Ora riavvia il tuo server wamp.

Devi cambiare il certificato del server da cert.pema fullchain.pem
Ho avuto lo stesso problema con il demone Perl HTTPS:
Ho cambiato:
SSL_cert_file => '/etc/letsencrypt/live/mydomain/cert.pem'
a:
SSL_cert_file => '/etc/letsencrypt/live/mydomain/fullchain.pem'

Finora, ho visto questo problema accadere all'interno delle reti aziendali per due motivi, uno o entrambi i quali potrebbero verificarsi nel tuo caso:

1. A causa del modo in cui funzionano i proxy di rete , hanno i propri certificati SSL, alterando così i certificati che il curl vede. Molte o la maggior parte delle reti aziendali ti costringono a utilizzare questi proxy.
2. Alcuni programmi antivirus in esecuzione su PC client funzionano in modo simile a un proxy HTTPS, in modo che possano scansionare il traffico di rete. Il tuo programma antivirus potrebbe avere un'opzione per disabilitare questa funzione (supponendo che gli amministratori lo consentiranno).

Come nota a margine, il n. 2 sopra può farti sentire a disagio per la scansione del tuo traffico TLS apparentemente sicuro. Questo è il mondo aziendale per te.

Ha avuto quel problema e non è stato risolto con la versione più recente. / etc / certs aveva il certificato root, il browser ha detto che tutto andava bene. Dopo alcuni test ho ricevuto dall'avviso ssllabs.com che la mia catena non era completa (in effetti era la catena per il vecchio certificato e non per quello nuovo). Dopo aver corretto la catena di certificati tutto andava bene, anche con il ricciolo.

Ho avuto questo problema con Digicert di tutte le CA. Ho creato un file digicertca.pem che era solo intermedio e root incollato insieme in un unico file.

curl https://cacerts.digicert.com/DigiCertGlobalRootCA.crt.pem
curl https://cacerts.digicert.com/DigiCertSHA2SecureServerCA.crt.pem

curl -v https://mydigisite.com/sign_on --cacert DigiCertCA.pem
...
*  subjectAltName: host "mydigisite.com" matched cert's "mydigisite.com"
*  issuer: C=US; O=DigiCert Inc; CN=DigiCert SHA2 Secure Server CA
*  SSL certificate verify ok.
> GET /users/sign_in HTTP/1.1
> Host: mydigisite.com
> User-Agent: curl/7.65.1
> Accept: */*
...

Eorekan ebbe la risposta, ma riuscì solo io e l'altro a votare la sua risposta.

Specificamente per gli Windowsutenti, utilizzando curl-7.57.0-win64-mingwo versione simile.

È un po 'tardi e le risposte esistenti sono corrette. Ma ho dovuto ancora lottare un po 'per farlo funzionare sul mio computer Windows, anche se il processo è in realtà piuttosto semplice. Quindi, condividendo il processo passo-passo.

Questo errore in pratica significa che l'arricciatura non riesce a verificare il certificato dell'URI di destinazione. Se ti fidi dell'emittente del certificato (CA), puoi aggiungerlo all'elenco dei certificati attendibili.

Per questo, sfoglia l'URI (ad es. Su Chrome) e segui i passaggi

1. Fare clic con il tasto destro sull'icona del lucchetto sicuro
2. Fai clic sul certificato, si aprirà una finestra con i dettagli del certificato
3. Vai alla scheda "Percorso certificazione"
4. Fai clic sul certificato ROOT
5. Fai clic su Visualizza certificato per aprire un'altra finestra del certificato
6. Vai alla scheda Dettagli
7. Fai clic su Copia su file per aprire la procedura guidata di esportazione
8. Fai clic su Avanti
9. Seleziona 'X.509 codificato in Base 64 (.CER)'
10. Fai clic su Avanti
11. Assegna un nome descrittivo, ad esempio "MyDomainX.cer" (passa alla directory desiderata)
12. Fai clic su Avanti
13. Fai clic su Fine, salverà il file del certificato
14. Ora apri questo .cerfile e copia il contenuto (incluso ----- INIZIA CERTIFICATO ----- e ----- FINE CERTIFICATO -----)
15. Ora vai alla directory in cui curl.exeè salvato ad esC:\SomeFolder\curl-7.57.0-win64-mingw\bin
16. Apri il curl-ca-bundle.crtfile con un editor di testo
17. Aggiungi il testo del certificato copiato alla fine del file. Salva

Ora il tuo comando dovrebbe essere eseguito bene in arricciatura.

questo può aiutarti per guzzle:

$client = new Client(env('API_HOST'));
$client->setSslVerification(false);

testato su guzzle / guzzle 3. *

Soluzione semplice: IN ~/.sdkman/etc/config, modificasdkman_insecure_ssl=true

Passaggi: modifica
nano per salvare ed uscire~/.sdkman/etc/config
sdkman_insecure_ssl=falsesdkman_insecure_ssl=true