Почему не работает curl с ssl на centOS + nss?

Question

[WotanWeb]

Добрый день! Вопрос немного сумбурно будет звучать, но, надеюсь, сможете понять =)

Есть curl подключение с такими параметрами:

CURLOPT_SSLCERT => '/cert.pem',
CURLOPT_SSLKEY => '/key.pem',
CURLOPT_SSLKEYPASSWD => "1111",

На обычном хостинге прекрасно работает. На VPS с centOS и nss отдаёт:
Ошибка curl: unable to load client key: -8178 (SEC_ERROR_BAD_KEY)

Нашёл подобные проблемы на SO, везде советуют такое:
openssl rsa -in key.pem -out newkey.pem

После этого другая ошибка:
Ошибка curl: NSS: private key from file not found

Как заставить заработать?

Answer 1

[CityCat4]

Ключ не соответствует сертификату.

Команда, которую Вы нашли на SO - исключительно глупая, наверняка из контекста вырвали. Она не делает ничего. Вот просто ничего, создает копию файла и все. И портит его возможно.

Как заставить? Ну, подать нормальный сертификат, где ключ соответствует сертификату ;)

Comments

[WotanWeb]

Но с этим же key.pem и cert.pem работало на обычном шаред хостинге (правда без nss).
Есть ещё набор файлов .p12, .der, .crt, .key. Из них нужно генерировать новые key и cert в .pem?

Я, откровенно, плох в этой теме, не приходилось сталкиваться, поэтому буду очень благодарен, если поможете.

[WotanWeb]

https://stackoverflow.com/questions/22499425/ssl-c...

Вот, сколько понимаю, у человека аналогичная проблема. Оттуда взял код

[CityCat4]

WotanWeb, Откуда все это взялось? Сами создали или выпускали где-то?

[WotanWeb]

CityCat4, их выдавали поставщики API. Изначально pem не было, знакомый сформировал из того, что было, pem файлы, и вот они уже и работали нормально без nss.

[CityCat4]

WotanWeb, ну, .p12 - это архив с ключом, сертификатом и сертификатом выпустившего CA. Должен быть, по крайней мере.
Из него можно достать составляющие (пароль от него должен у Вас быть):
Достаем сертификат

openssl pkcs12 -in somecertkey.p12 -out somecrt.crt -clcerts -nokeys

Достаем сертификат выпустившего СA

openssl pkcs12 -in somecertkey.p12 -out ca.crt -cacerts -nokeys

Достаем ключ. Ключ достается в две команды, в первой будет запрошен пароль для хранения ключа, пустой нельзя, но можно указать что угодно, все равно второй командой он снимается (если снимать пароль с ключа не надо, вторая не нужна)

openssl pkcs12 -in somecertkey.p12 -out mykey.key -nocerts
openssl rsa -in mykey.key -out somekey.key

Файл .der требуется только если софтина принимает только сертификаты в двоичном формате (такое бывает). Он получается из файла .crt следующей командой:

openssl x509 -in filename.crt -out filename.cer -inform PEM -outform DER

А где же здесь .pem? А расширение .pem фактически не означает ничего. То есть означает "это нечто, связанное с сертификатами". Я обычно так называю сертификаты (без ключа) у которых кроме обычной части есть еще текстовая, читаемая людьми (и игнорируемая автоматами)

[WotanWeb]

CityCat4, всё сформировал, пробовал по-моему все варианты, не получилось.
Отписал в ТП VPS (jino), сказали установить серт по инструкции: https://linux-notes.org/nastrojka-bezopasnogo-soed...

ииии, NSS: client certificate not found (nickname not specified)

Чукча не понимат =(

[CityCat4]

Тут я тоже не понимат. Это видимо в гугл :) вот прямо эту строку целиком, а то гугло накидает про общую работу с сертификатами.
Инструкция короткая и совершенно беспонтовая.

[WotanWeb]

CityCat4, спасибо за попытку помочь, друже, но в конечном итоге в апаче отключили nss. Так и не разобрались коллективно =(
Ах, да, через консолину curl проходил. Именно с php не получилось завести.

Answer 2

[Foxcloud Foxcloud]

Здравствуйте!
Попробуйте использовать ключ -k во время исполнения curl.
curl -k должно помочь в подключении к самоподписанным сертификатам.

Также при диагностике используйте -vvvvv ключ. Даст вам развернутый ответ об ошибке.

Comments

[WotanWeb]

Через консоль curl получилось завести, через php - нет. В конечном итоге отключили nss в апаче.