openssl - 难以理解SSL证书链验证

Question

我的应用程序使用SSL与服务器进行安全通信，并且无法验证证书链。链看起来像这样:

Entrust.net安全服务器证书颁发机构-> DigiCert全局CA-> * .ourdomain.com

我们正在使用从Mozilla提取的证书存储。它包含Entrust.net证书，但不包含DigiCert Global CA证书。

我的理解是，只要是根权限，就不必信任中间权限，但是验证会失败:

% openssl verify -CAfile mozilla-root-certs.crt ourdomain.com.crt
error 20 at 0 depth lookup:unable to get local issuer certificate

那么，我是否需要明确信任DigiCert Global CA才能通过验证？好像错了但是你告诉我!

编辑:我现在知道证书文件需要预先可供OpenSSL使用。像这样的作品:

% openssl verify -CAfile mozilla-root-certs.crt -untrusted digicert.crt ourdomain.com.crt
ourdomain.com.crt: OK

这使我可以提供DigiCert CA的副本，而无需明确地说“我信任”，整个链仍需要进行验证。

但是，可以肯定的是，像Firefox这样的浏览器并不会总是附带它所需要的每个证书的副本。总是会有新的CA，关键是使用根证书的安全性来确保所有中间CA有效。对？那么这是如何工作的呢？真的看起来很傻吗？

Answer 1

中间证书以及您自己域的证书都必须安装在您的Web服务器上。上周我也遇到了同样的问题……Firefox似乎比其他浏览器更挑剔。