macos - 证书验证 : Error (20): unable to get local issuer certificate - Chrome on Apple OSX

Question

我们已经安装了一个 Apache Debain Wheezy HTTPS 服务器，使用的证书链如下所示:

AddTrust External CA Root -> PositiveSSL CA 2 -> ourdomain.com

Apache 配置文件的 SSL 部分如下所示:

    SSLEngine On
    SSLCertificateFile /etc/apache2/ssl/ourdomain.crt
    SSLCertificateKeyFile /etc/apache2/ssl/ourdomain.key
    SSLCertificateChainFile /etc/apache2/ssl/AddTrustExternalCARoot.crt
    SSLCertificateChainFile /etc/apache2/ssl/PositiveSSLCA2.crt
    SSLVerifyClient optional
    SSLVerifyDepth 2
    SSLOptions +StdEnvVars +StrictRequire
    <Location />
            SSLRequireSSL ON
            SSLRenegBufferSize 100000000
    </Location>

我们已经在本地使用 openssl verify 和使用外部验证站点验证了链。没有错误。除此之外，我们的大多数用户都可以完美登录。但是我们的一位用户提示他无法登录(证书验证失败)。查看我们的服务器日志文件，我们可以看到与该用户关联的 ip 地址的以下行:

Certificate Verification: Error (20): unable to get local issuer certificate

用户使用 OSX 和 Chrome。可能出了什么问题，或者我们希望从哪里进一步诊断问题？

Answer 1

您有 sslverifyclient 可选，这意味着客户端可以向网络服务器提供客户端证书，以验证自己。也许您的用户有这样的证书。我自己对此并不陌生，我认为这两项 a) 服务器的 sslcertificate 和 b) 客户端身份验证彼此不依赖...

我也不确定您是否可以给 apache 两个 SSLCertificateChainFile 指令。

希望对您有所帮助。