linux - 如何使用 Curl 打开安全站点

Question

最近我们必须更新我们在办公室使用的一些 apaches 上的 SSLProtocol 和 SSLCipher。

发件人:
SSLProtocol -all +TLSv1 +TLSv1.2
SSLCipherSuite 高:!aNULL:+SHA1:+MD5:+高

收件人:
SSLProtocol -all +TLSv1.1 +TLSv1.2
SSLCipherSuite EECDH+AES:AES256-SHA:AES128-SHA:AES:CAMELLIA:DES-CBC3-SHA:!aNULL:!eNULL:!EXPORT:!DES:!RC4:!MD5:!PSK:!aECDH:!EDH: !EXP:!SRP:!DSS:!LOW:!3DES
SSLHonorCipherOrder on
SSLVerifyClient 无
SSLVerifyDepth 1

所有测试都是使用 curl 命令完成的。但是在更改 curl 之后开始出现错误。

curl -v https://server1:4034/pages/Status.jsp --trace-ascii/dev/stdout
警告:--trace-ascii 覆盖早期的 trace/verbose 选项
== 信息:即将连接()到 server1 端口 4034(#0)
== 信息:正在尝试 xxx.xxx.xxx.xxx... == 信息:已连接
== 信息:连接到 server1 (xxx.xxx.xxx.xxx) 端口 4034 (#0)
== 信息:使用证书路径初始化 NSS:sql:/etc/pki/nssdb
== 信息:CA文件:/etc/pki/tls/certs/ca-bundle.crt
CApath:无
== 信息:NSS 错误 -5938
== 信息:关闭连接 #0
== 信息:SSL 连接错误
curl: (35) SSL 连接错误

我已经安装了支持 TLSv1.2 的最新可用版本 (7.46.0)。

有什么方法可以用curl测试吗？或者有什么方法可以调试 curl 连接？谢谢

Answer 1

你有两个选择:

1. 按照 shcherbak 的建议禁用服务器证书验证。

2. 进行完整的证书验证，为此您应该拥有该 CA 的根证书，该证书已为您的服务器签署了证书。将该证书以 PEM 形式放入某个文件中，例如 ca.crt，并为 curl 提供额外的命令行参数:curl --cacert ca.crt

这可能行不通，从您的消息中我看到您的 curl 是针对 NSS 库构建的，这使事情稍微复杂一些。 NSS 使用自己的证书存储。您可以在 Firefox 配置文件中找到文件 key3.db 和 cert8.db - 这是 Firefox 使用的 NSS 存储。

要操作这些文件，可以使用来自 Mozilla(NSS 库的维护者)的 certutil 工具:https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/tools/NSS_Tools_certutil .您应该创建 cert8(如果库有较新版本，则为 cert9)文件，将您的服务器证书添加为受信任的，并为该文件提供 curl。放置此文件的位置由 SSL_DIR 环境变量指示，默认为/etc/pki/nssdb。

在此处阅读有关 CURL 安全配置的更多信息:http://curl.haxx.se/docs/sslcerts.html