linux - 静态链接的openssl，从哪里加载CA证书？

Question

我正在尝试修复现在无法连接的旧二进制文件(当然没有源...)，可能是因为它使用的是过时的 CA 列表。

但是，当通过 strace 运行时，我没有看到二进制文件试图从/etc/ssl/certs 中读取我的 CA。

是否有可能将 CA 列表捆绑到二进制文件本身？

非常感谢，

亚当

Answer 1

要明确一点，既然你说源不可用，我假设你的意思是一个使用 OpenSSL 库的自定义程序，因为名为 openssl 的实用命令行界面程序的源仍然可用于约会版本到上个世纪(直到 1.1.0 并没有太大变化，即使它可能应该有)。

是的，绝对是。使用 libssl(和 libcrypto)的程序可以选择是使用标准文件作为其信任库，还是使用它指定的其他(自定义)文件(通常来自配置)，或者您要求的硬编码数据或来自一些其他来源，如(安全，我们希望!)数据库，或者如果它使用不使用证书身份验证的密码套件(匿名、PSK 或 SRP)，甚至根本没有信任库，这些证书很少使用，但受 OpenSSL 支持。

您可以在程序上尝试 strings 以查看它们是否足够基本以在 PEM 中嵌入证书(可能还有其他内容)——IINM 就是 Lenovo Superfish 的发现方式。如果他们嵌入了二进制“DER”，它仍然具有足够的冗余，您可以找到它，但并不那么容易。

使用 Wireshark 或类似工具查看网络流量，或者如果您有权访问服务器，请检查其日志，以查看程序是否发送 41 到 49 范围内的警报以响应服务器的第一次飞行，即刚好在ServerHelloDone。这将明确表明存在证书问题。