Thema: openssl
-
TLS-Verifikationsfehler in verschiedenen Tools: unknown authority, CERTIFICATE_VERIFY_FAILED, self-signed in chain
Verschiedene TLS-Clients melden denselben zugrunde liegenden Fehler, eine unvollständige oder nicht vertrauenswürdige Zertifikatskette, mit eigenen Formulierungen: 'certificate signed by unknown authority', 'CERTIFICATE_VERIFY_FAILED', 'unable to get local issuer certificate', 'self-signed certificate in certificate chain'. Der Artikel zeigt, wie sich die tatsächliche Kette vor jeder Korrektur mit openssl s_client untersuchen lässt und weshalb -k oder verify=False nie eine Lösung ist.
-
Zertifikate mit openssl zwischen PEM, DER und PKCS#12 konvertieren: für plattformübergreifende Trust Stores und Keystores
Trust Stores und Keystores erwarten unterschiedliche Containerformate: RHEL/Debian-Anchors verlangen PEM-Dateien mit .crt, Windows und Java-Werkzeuge liefern oder erwarten oft PKCS#12 (.pfx/.p12) oder DER (.cer). Mit openssl pkcs12 und openssl x509 lässt sich zwischen diesen Formaten konvertieren und der Schlüssel separat extrahieren.
-
make, ping und nc: Exit-Codes, die anders zu deuten sind, als man annimmt
Bei GNU make bedeutet Exit-Code 1 bei -q «Target muss neu gebaut werden», nicht Fehler. Bei ping heisst Code 1 «keine Antwort erhalten» (Host nicht erreichbar, kein fehlerhafter Aufruf von ping), Code 2 dagegen ein echter Bedienungs- oder sonstiger Fehler. Bei openssl s_client ist laut Dokumentation eine Verbindung standardmässig erfolgreich (Exit-Code 0), auch wenn die Zertifikatsprüfung fehlschlug, ausser -verify_return_error ist angegeben.
Maschinenlesbar: JSON