Как исправить ошибку WGET ERROR: The certificate of ‘itnan.ru’ is not trusted. The certificate of ‘itnan.ru’ hasn't got a known issuer?

Question

[Pashkevich]

Выполняю команду:
wget https://itnan.ru
и получаю ошибку:

ERROR: The certificate of ‘itnan.ru’ is not trusted.
ERROR: The certificate of ‘itnan.ru’ hasn't got a known issuer.

Проблема связана с HTTPS.
Однако при выполнении:
wget https://google.ru
всё нормально и ошибок нет.
Если выполнить такую команду:
wget --no-check-certificate https://itnan.ru
То команда выполняется успешно, но лишь с предупреждением о таких же ошибках.
Но выполняется.
Хочу, что не нужно было использовать этот параметр --no-check-certificate
Как исправить и что сделать?

Answer 1

[ky0]

Если сертификат валидный, попробуйте обновить пакет ca-certificates. В противном случае нужно добавлять соответствующий корневой сертификат в хранилище ОС.

Comments

[Pashkevich]

Сертификат валидный. Куплен за деньги.
"обновить пакет ca-certificates" - это вот так?
apt-get install ca-certificates
Если да, то выполнял эту команду раз 10, вот результат:
Reading package lists... Done
Building dependency tree
Reading state information... Done
ca-certificates is already the newest version.
0 upgraded, 0 newly installed, 0 to remove and 43 not upgraded.

Еще выполнял команду:
update-ca-certificates
Вот результат:
Updating certificates in /etc/ssl/certs... 0 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d....done.
Но ничего не произошло и не поправилось.

[ky0]

Pashkevich: хм, возможно у вас версия ОС старовата? В принципе, можно временно подцепить репозиторий более свежей и установить этот пакет - это ничего не должно поломать.

[Pashkevich]

Debian 8.6 LAMP
Если я правильно ответил на ваш вопрос по поводу ОС
Это у меня на хостинге так.

[ky0]

Pashkevich: у вас на сайте промежуточные сертификаты не прикреплены к вашему, возможно поэтому wget и ругается. Вот, смотрите, раздел "Certification Paths" - https://www.ssllabs.com/ssltest/analyze.html?d=itnan.ru

[Pashkevich]

ky0: увидел. Что нужно сделать? Чтобы исправить?

[ky0]

Pashkevich: добавить в конфиг веб-сервера информацию об этих сертификатах, очевидно. Судя по всему, у вас апач - https://www.digicert.com/ssl-certificate-installat...

[Pashkevich]

ky0: да, Апач и у меня уже есть вот такие записи:

SSLEngine on
SSLCertificateFile "/var/www/httpd-cert/ppolko/itnan.crt"
SSLCertificateKeyFile "/var/www/httpd-cert/ppolko/itnan.key"
SSLHonorCipherOrder on
SSLProtocol +TLSv1 +TLSv1.1 +TLSv1.2
SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH

[Pashkevich]

ky0: возможно у меня не хватает "цепочки". Только я не знаю где ее взять. У меня есть только Сертификат и Приватный Ключ.

[ky0]

Pashkevich: всё это можно найти на сайте УЦ, у которого вы купили сертификат. Их бывает несколько, более точно можно посмотреть по ссылке на ssllabs, которую я давал выше.

[Pashkevich]

ky0: Спасибо тебе ОГРОМНОЕ!
В общем я сделал файл цепочки и положил его:
SSLCertificateChainFile "/var/www/httpd-cert/ppolko/itnan.ca"
А сделал я его из существующих файлов, которые у меня как оказалось были:
COMODORSAAddTrustCA.crt
COMODORSADomainValidationSecureServerCA.crt
AddTrustExternalCARoot.crt

Проверил команду:
wget https://itnan.ru
и о чудо - заработало!

Answer 2

[キム ファイブプラス]

Дополню для NGINX.

ssl on;
ssl_protocols TLSv1 TLSv1.1 TLSv1.2 SSLv3;
ssl_ciphers ALL:!aNULL:!ADH:!eNULL:!LOW:!EXP:RC4+RSA:+HIGH:+MEDIUM;
ssl_certificate /etc/ssl/CA.pem;  
ssl_certificate_key /etc/ssl/private.key;