调用URI时如何验证SSL连接？

Question

我正在开发一个使用CAS（单一登录解决方案： http : //www.ja-sig.org/wiki/display/CAS/Home ）进行身份验证的Web应用程序。

出于安全原因，我需要做两件事：

• CAS与我的应用程序之间的通信需要安全
• 我的应用程序需要接受来自CAS的认证，以便可以保证CAS响应是真正的CAS服务器。

这是我到目前为止所得到的：

uri = URI.parse("https://www.google.com/accounts")
https = Net::HTTP.new(uri.host, uri.port)
https.use_ssl = (uri.scheme == 'https')
https.verify_mode = (OpenSSL::SSL::VERIFY_PEER)
raw_res = https.start do |conn|
  conn.get("#{uri.path}?#{uri.query}")
end

这在Mac OS X中非常有效。当我尝试访问不安全的URI时，它会引发异常，而当我尝试访问安全的URI时，它会像预期的那样正常运行。

当我在Linux服务器上部署应用程序时，问题就开始了。 我在Ubuntu和Red Hat中都尝试过。 与我尝试访问的URI无关，它总是引发以下异常：

OpenSSL::SSL::SSLError: SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed
    from /usr/local/lib/ruby/1.8/net/http.rb:586:in `connect'
    from /usr/local/lib/ruby/1.8/net/http.rb:586:in `connect'
    from /usr/local/lib/ruby/1.8/net/http.rb:553:in `do_start'
    from /usr/local/lib/ruby/1.8/net/http.rb:542:in `start'
    from (irb):7

我认为这与我安装的OpenSSL软件包有关，但我不确定。 这是我安装的OpenSSL软件包：

openssl.x86_64                              0.9.8e-12.el5              installed
openssl-devel.x86_64                        0.9.8e-12.el5              installed

我也尝试使用HTTParty，但它只是忽略了SSL证书。

我希望有人可以帮助我，或者告诉我一些可以满足我需要的宝石。

谢谢。

Answer 1

我敢打赌，证书颁发机构文件中有所不同。 尝试将https.ca_file设置为另一个pem文件， 例如此文件，并确保证书的CA在该列表中。

或者，也许一个或两个机器的时钟是错误的。 （通过此页面 ）

检查人偶管理员和客户端之间的时钟是否同步，如果生成证书时客户端落后，则客户端会看到证书的开始日期是将来的日期，因此无效。 仅供参考，您可以使用以下方法从证书中查找此信息：

openssl x509 -text -noout -in /var/lib/puppet/ssl/certs/hostname.tld.pem | grep -A2有效性

  Validity Not Before: Apr 19 23:21:29 2009 GMT Not After : Apr 18 23:21:29 2014 GMT 

Answer 2

http.verify_mode = OpenSSL :: SSL :: VERIFY_NONE