尽管有效的Verisign证书，“PKIX路径构建失败”

Question

我遇到了类似问题，如下所述：

我谈到的Web服务器更新了它的SSL证书，现在我的应用程序无法与之通信

尽管拥有有效的Verisign证书，“PKIX路径构建失败”例外。

我不明白的是，当我在网络浏览器中点击相同的URL时服务器工作正常。

服务器正在发送整个证书链，我可以在我的Web浏览器中看到它：

   (Verisign root)
     -> (VeriSign Class 3 Secure Server CA - G3) 
       -> (my server) 

但由于某种原因，Java和OpenSSL命令行工具没有看到它。

wget失败， openssl s_connect只看到中间的“G3”证书。

然而IE和Chrome - 没问题。

这里发生了什么？

Answer 1

您在浏览器中看到的不一定是服务器发送的链，而是浏览器重建的链。 Windows可能将G3中间CA作为可信锚点，而其他客户端则不然。

要检查服务器发送的实际链，使用-showcerts与s_connect ：

openssl s_client -showcerts -connect your.host.name:443

确保以正确的顺序发送链：首先是服务器证书，然后是中间证书（如果需要）。

Certificate chain
 0 s:/.../CN=your.host.name
   i:/.../CN=VeriSign Class 3 Secure Server CA - G3
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----
 1 s:/.../CN=VeriSign Class 3 Secure Server CA - G3
   i:/.../CN=Verisign root
-----BEGIN CERTIFICATE-----
...
-----END CERTIFICATE-----

（以防万一，检查您是否获得了正确的证书，以防您使用SNI，但使用不支持它的Java或OpenSSL版本。）

Qualys SSL实验室测试是检查这一点的好工具。

此外，根据wget或openssl的安装方式，它们通常没有可信锚的默认列表，因此您必须明确地为它们提供一组CA证书的路径。

Answer 2

似乎G3不被Java和openssl认为是可信任的

Answer 3

这可能发生，因为根证书必须驻留在本地（在客户端上）才能被信任。 如果相关的verisign根证书在本地不受信任，那么它是否包含在服务器发送的链中并不重要 - 它不受客户端信任。