Openssl s_Client不验证0.9.8r中的证书

Question

我正在使用openssl v0.9.8r并尝试运行此命令(在我运行的目录中将CA文件名称作为cacert.pem)

openssl s_client -CAfile cacert.pem -CApath ./ -connect mail.google.com:443

验证失败如下

Verify return code: 20 (unable to get local issuer certificate)

但是,当我在其中一个旧版本(即OpenSSL 0.9.8e-fips-rhel5)上尝试相同的命令时,它按预期成功完成.我在这里错过了什么吗？我非常感谢能得到任何帮助,因为我现在已经被openssl问题困住了一段时间.非常感谢提前.

问候

哈日

Answer 1

从 OpenSSL验证页面

20 X509_V_ERR_UNABLE_TO_GET_ISSUER_CERT_LOCALLY：无法获取本地颁发者证书

找不到颁发者证书：如果找不到不受信任的证书的颁发者证书，则会发生这种情况。

正如您所猜测的，这意味着 CA 无法加载或验证。这可能是由多种原因引起的，但这里有一个很好的清单。

• 权限。在 Linux 上尝试 sudo。在 Windows 上尝试“以管理员身份运行”。

• 尝试对两个版本使用 verify 命令，看看是否出现相同的错误。

  openssl verify -CAfile cacert.pem -CApath ./

• 文件丢失/放错位置。自您运行以来，该文件夹中的某些内容可能已发生更改。

• 小路。尝试从从 OpenSSL 0.9.8e-fips-rhel5 运行命令时所在的同一目录运行该命令。