Sujet : openssl
-
Erreurs de vérification TLS selon les outils : unknown authority, CERTIFICATE_VERIFY_FAILED, certificat auto-signé dans la chaîne
Différents clients TLS signalent, chacun à sa façon, la même défaillance de fond, une chaîne de certificats incomplète ou non fiable : 'certificate signed by unknown authority', 'CERTIFICATE_VERIFY_FAILED', 'unable to get local issuer certificate', 'self-signed certificate in certificate chain'. L'article montre comment diagnostiquer la chaîne réelle avec openssl s_client avant toute correction, et pourquoi -k ou verify=False n'en est jamais une.
-
Convertir des certificats entre PEM, DER et PKCS#12 avec openssl pour les magasins de confiance et les keystores multiplateformes
Les magasins de confiance et les keystores attendent des formats de conteneur différents : les ancres de confiance de RHEL/Debian attendent des fichiers PEM .crt, Windows et les outils Java fournissent ou exigent souvent du PKCS#12 (.pfx/.p12) ou du DER (.cer). openssl pkcs12 et openssl x509 permettent de passer de l'un à l'autre et d'extraire la clé.
-
make, ping et nc : des codes de sortie qui, discrètement, ne vérifient pas ce qu'on croit
Avec -q, le code de sortie 1 de GNU make signifie « une cible doit être reconstruite », pas un échec ; pour ping, 1 signifie qu'aucune réponse n'est arrivée (hôte inaccessible, et non un appel de ping erroné) et 2 une vraie erreur d'utilisation ou autre ; et openssl s_client documente qu'une connexion par défaut réussit (code 0) même si la vérification du certificat a échoué, sauf avec -verify_return_error.
Lisible par machine : JSON