type
status
date
slug
summary
tags
category
icon
password
URL
环境使用了mtls双向认证，在抓的wireshark包里面出现了错误 unknown ca，可能是什么原因
"Unknown ca" 错误通常表示在 SSL/TLS 握手期间无法验证对等方的证书，可能的原因包括：
- 证书链不完整：如果对等方的证书链中缺少中间证书或根证书，那么验证证书的过程会失败并返回 "unknown ca" 错误。
- 证书过期或被吊销：如果证书过期或被吊销，那么验证证书的过程也会失败并返回 "unknown ca" 错误。
- 证书不受信任：如果对等方的证书被签名的证书不在本地证书存储中或不在可信的证书颁发机构列表中，那么验证证书的过程也会失败并返回 "unknown ca" 错误。
- TLS 版本不受支持：如果对等方使用的 TLS 版本不受支持，那么 SSL/TLS 握手可能会失败并返回 "unknown ca" 错误。
针对这个问题，您可以尝试：
- 检查证书链是否完整，并确保中间证书和根证书都已正确安装。
- 检查证书是否过期或被吊销。
- 确认对等方证书是否被签名的证书在本地证书存储中或在可信的证书颁发机构列表中。
- 确认对等方使用的 TLS 版本是否被您的环境所支持。
另外，您也可以尝试使用 OpenSSL 等工具来进一步分析该问题的原因
使用的是自签的根证书
如果您使用的是自签的根证书，那么在 SSL/TLS 握手期间验证对等方证书时会出现 "unknown ca" 错误，因为自签的根证书不在本地证书存储或可信的证书颁发机构列表中。
为了解决这个问题，您可以在您的环境中添加您自己的根证书以使其受信任。具体步骤可能因操作系统和使用的工具而异，但通常需要将自签的根证书添加到本地证书存储中或将其复制到所使用的应用程序的特定位置。
如果您正在使用的是开源工具，例如 OpenSSL，则可以使用以下命令将自签的根证书添加到 OpenSSL 的证书颁发机构列表中：
上述命令将把名为 "root_ca.crt" 的自签的根证书转换为 PEM 格式，并将其添加到 OpenSSL 的证书颁发机构列表中。
请注意，向本地证书存储或证书颁发机构列表中添加自签的根证书可能会增加安全风险。因此，建议仅在必要时执行此操作，并采取适当的措施来保护您的证书。
如何使用openssl来进一步分析问题
可以使用 OpenSSL 来进一步分析 "unknown ca" 错误。以下是一些可以使用 OpenSSL 执行的命令：
- 验证证书链完整性：
此命令将验证服务器证书是否与证书颁发机构捆绑证书（ca_bundle.crt）中的任何一个证书匹配。
- 验证证书是否过期：
此命令将显示服务器证书的过期日期。如果证书已过期，则需要重新颁发。
- 验证证书链的完整性和证书是否过期：
此命令将建立与服务器的 SSL/TLS 连接，并显示证书链的完整性和证书是否过期。如果出现 "unknown ca" 错误，则可能是证书链不完整或证书过期。
- 显示证书详细信息：
此命令将显示服务器证书的详细信息，包括颁发机构、有效期、公钥、签名算法等。您可以使用此命令来进一步分析证书是否正确。
请注意，这些命令只是使用 OpenSSL 分析 "unknown ca" 错误的一些示例。具体命令可能因您的环境和使用的证书而异。
## 如何使用openssl验证证书链的完整性和证书是否过期？
您可以使用 OpenSSL 的 s_client 命令来验证证书链的完整性和证书是否过期。以下是使用 OpenSSL 验证证书链的完整性和证书是否过期的步骤：
- 打开终端或命令提示符窗口，并输入以下命令：
请将 "server" 替换为您要连接的服务器地址，将 "port" 替换为服务器的端口号。例如，如果您要连接到示例服务器的 443 端口，则命令应如下所示：
- 按下回车键后，您将看到服务器证书链的详细信息。如果证书链完整且证书没有过期，则会显示 "Verify return code: 0 (ok)"。
- 如果出现 "unknown ca" 错误，则可能是证书链不完整或证书过期。在这种情况下，您可以尝试使用以下命令来检查证书链的完整性：
请注意，此命令将显示服务器证书链中的所有证书。您可以使用此命令来检查证书链是否完整，并查看每个证书的详细信息。
如果您已经确定证书链完整且证书没有过期，但仍然出现 "unknown ca" 错误，则可能是由于证书不受信任或使用了不受支持的 TLS 版本。您可以使用其他 OpenSSL 命令来进一步分析这些问题，例如使用 verify 命令来检查证书是否受信任，或使用 s_client 命令的 -tls1_2 选项来强制使用 TLS 1.2 版本。