ssl - 带有客户端证书的 openssl ssl_accept 问题

Question

我有一个工作的 C++ 系统，我在客户端和服务器之间使用 C openssl 库在两侧建立了 ssl 连接。

系统通过要求客户端证书作为连接的一部分来使用客户端身份验证。客户端证书是自签名的，由签署自签名证书的系统中的 ca.pem 在服务器上对其进行验证。

服务器证书由 digikey 颁发。

我的理解是客户端对服务器证书的验证(它在客户端验证)和服务器对客户端[自签名]证书的验证之间没有关系，客户端[自签名]证书是在服务器上用我提供的 ca .pem.

但是，当我将服务器证书更改为由 letsencrypt 签名的证书时，我遇到了问题。

接受连接时出现此错误:

错误:14094418:SSL 例程:ssl3_read_bytes:tlsv1 警报未知 ca:s3_pkt.c:1487:SSL 警报编号 48

未知 CA。啊啊，但是哪个？

我尝试删除客户端证书要求作为测试，我能够建立连接，很明显客户端很乐意验证新的 letsencrypt 服务器证书。

所以看起来服务器无法验证客户端证书。但这没有任何意义，因为这些都没有改变，客户端证书是相同的，并且服务器用于验证该证书的 ca.pem 是相同的。

为什么更改服务器证书会影响客户端证书的验证方式？

服务器向客户端发出的请求是否有关于要求客户端证书的请求，包括主题的“letencrypt”或类似的东西？我对客户端证书请求的工作方式有点模糊。

有没有办法从 ssl 错误中获取更多信息，从库中获取更详细的日志记录？

我已经在命令行上运行 openssl verify 命令来手动验证客户端的 ca.pem 可信根列表可以验证 letsencrypt 证书，并且服务器的 ca.pem 可以验证客户端证书(因为它总是有)

那么....我做错了什么？

有什么想法吗？建议？要尝试什么？

谢谢。

更新:

所以我不得不重建 openssl 但我在服务器端和服务器端进行了跟踪，我得到了这个:

Received Record
Header:
  Version = TLS 1.2 (0x303)
  Content Type = Alert (21)
  Length = 2
    Level=fatal(2), description=unknown CA(48)

这让我现在相信问题出在客户端。上一条消息是从服务器发送的:

Sent Record
Header:
  Version = TLS 1.2 (0x303)
  Content Type = Handshake (22)
  Length = 46
    CertificateRequest, Length=38
      certificate_types (len=3)
        rsa_sign (1)
        dss_sign (2)
        ecdsa_sign (64)
      signature_algorithms (len=30)
        sha512+rsa (6+1)
        sha512+dsa (6+2)
        sha512+ecdsa (6+3)
        sha384+rsa (5+1)
        sha384+dsa (5+2)
        sha384+ecdsa (5+3)
        sha256+rsa (4+1)
        sha256+dsa (4+2)
        sha256+ecdsa (4+3)
        sha224+rsa (3+1)
        sha224+dsa (3+2)
        sha224+ecdsa (3+3)
        sha1+rsa (2+1)
        sha1+dsa (2+2)
        sha1+ecdsa (2+3)
      certificate_authorities (len=0)

那么这意味着服务器没有提供关于匹配客户端证书的内容的建议，而客户端不喜欢这样？不确定这是否有帮助，只是指出问题可能出在客户端这一事实。

Answer 1

所以对于所有的追随者，我想通了。

举报来自追踪

Received Record
Header:
  Version = TLS 1.2 (0x303)
  Content Type = Alert (21)
  Length = 2
    Level=fatal(2), description=unknown CA(48)

表明服务器实际上是在提示客户端问题(而客户端没有，唉)

所以一旦我意识到它在提示客户端(在服务器上)的服务器证书，我意识到我只是没有在客户端上可用的所有根证书和中间体来验证新的服务器证书.我添加了它们，瞧，ssl 连接。SSL 错误可能有点误导。

没有解释为什么我的无客户端连接有效......也许我以某种方式搞砸了那个测试。