Как проблема вызывает ошибку, как её решить в CentOS7 при использовании PHP функции get_headers(): SSL operation failed with code 1(OpenSSL Error)?

Question

[Mark]

Несколько дней начала возникать ошибка при использовании get_headers()/file_get_contents():

get_headers(): SSL operation failed with code 1.
OpenSSL Error messages: error:14090086:SSL routines:ssl3_get_server_certificate:certificate verify failed

1) Проблема возникла из-за того, что на сервере есть некий сертификат и он устарел?

2) При попытке перейти к /etc/ssl/certs перебрасывает на /etc/pki/tls/certs. В нём лежат сертификаты:

/etc/pki/tls/certs

В директории на уровень выше есть сертификат cert.pem.

/etc/pki/tls

Какой из сертификатов следует обновить в моём случае?

3) Как происходит обновление сертификатов в CentOS 7? Могу ли я как-то воспользоваться услугами Let's Encrypt для этого?

P.S.
#1: cURL работает без проблем.
#2: Удаленные серверы, к которым идёт обращение имеют валидные сертификаты.
#3: Не хотел бы игнорировать сертификат - сообщается, что это вредит безопасности. Хотел бы решить проблему.

Игнорировать сертификат

'ssl' => [
        'cafile' => '/path/to/bundle/cacert.pem',
        'verify_peer'=> true,
        'verify_peer_name'=> true,
    ],

Спасибо.

Answer 1

[galaxy]

Судя по размеру, у вас база CA вообще пустая.
yum update ca-certificates или yum reinstall ca-certificates
(или более подробно https://access.redhat.com/solutions/1549003)

Странно, конечно, что curl работает... Сделайте curl --cacert dummy_xxx https://www.google.com - должен показать используемую папку с CA сертификатами.

Comments

[Mark]

Странно, конечно, что curl работает... Сделайте curl --cacert dummy_xxx https://www.google.com - должен показать используемую папку с CA сертификатами.

Странно, действительно ошибку вывело:

curl: (77) Problem with the SSL CA cert (path? access rights?)

Странно, конечно, что curl работает... Сделайте curl --cacert dummy_xxx https://www.google.com - должен показать используемую папку с CA сертификатами.

Это сработало, но как-то на половину. Когда я запускаю get_headers() на web-странице - всё хорошо. Когда запускаю через консольную команду - получаю ту же ошибку:

WebPage

Console

Команда такого формата:
/opt/remi/php72/root/usr/bin/php yii /dev/import

[galaxy]

Mark, проверьте в php.ini настройки - https://www.php.net/manual/ru/openssl.configuration.php
(или просто распечатайте их через ini_get на cli и fpm)
и вот это: var_dump(openssl_get_cert_locations());

проверьте перменную окружения SSL_CERT_DIR

[Mark]

galaxy, всё же сработало Ваше решение, спасибо! Просто часть ссылок оказалась, видимо, с действительно проблемным сертификатом. Либо get_headers() не работает с редиректом.

Пример: https://d.radikal.ru/d29/2102/74/eaeba40ef140.jpg

Разберусь. Спасибо за помощь!

UPD: Странно, тут перешло к изображения, а не редирект к странице произошел.