Openssl s_Client 不验证 0.9.8r 中的证书

Question

我正在使用 openssl v0.9.8r 并尝试运行此命令(在我运行的目录中，CA 文件名为 cacert.pem)
openssl s_client -CAfile cacert.pem -CApath ./ -connect mail.google.com:443
并且验证失败如下
Verify return code: 20 (unable to get local issuer certificate)
但是，当我在旧版本之一，即 OpenSSL 0.9.8e-fips-rhel5 上尝试相同的命令时，它按预期成功。我在这里错过了什么吗？我非常感谢我能得到的任何帮助，因为我已经被 openssl 问题困住了一段时间。非常感谢。

问候

哈里

Answer 1

来自 OpenSSL Verify页

20 X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY: unable to get local issuer certificate

the issuer certificate could not be found: this occurs if the issuer certificate of an untrusted certificate cannot be found.

您可以猜到，这意味着 CA 无法加载或验证。这可能由多种原因引起，但这里有一个很好的 list 。

权限。在 Linux 上试试 sudo。在 Windows 上尝试“以管理员身份运行”。

尝试在两个版本中使用 verify 命令，看看是否出现相同的错误。
openssl verify -CAfile cacert.pem -CApath ./

丢失/错放的文件。自从您运行以来，该文件夹中的某些内容可能已更改。

小路。尝试从从 OpenSSL 0.9.8e-fips-rhel5 运行命令时所在的同一目录运行该命令。