以 PHP SSL 上下文选项 "cafile" 可接受的格式导出 HTTPS 证书

Question

如何以 PHP SSL context option cafile 可接受的格式导出证书？

我下面的代码使用 openssl_x509_export to export a certificate chain of whosebug.com to a file. The code is based on How to get SSL certificate info with CURL in PHP?

$context = stream_context_create(["ssl" => ["capture_peer_cert_chain" => true]]);
$h = stream_socket_client(
         "ssl://whosebug.com:443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT,
         $context);
$params = stream_context_get_params($h);

$ca = null;

foreach ($params["options"]["ssl"]["peer_certificate_chain"] as $cert)
{
    openssl_x509_export($cert, $output);
    $ca .= $output;
}

file_put_contents("cafile", $ca);

（我知道没有必要导出整个链。）

然后，我尝试使用以下代码片段连接到使用导出文件验证证书的同一主机。但是代码失败了：

PHP Warning: file_get_contents(): SSL operation failed with code 1. OpenSSL Error messages:

error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed in /path/test.php on line 22

$context = stream_context_create(["ssl" => ["cafile" => "cafile"]]);

file_get_contents("https://whosebug.com/", false, $context);

文件格式有什么问题？

有趣的是wget对导出的证书很满意，以下成功：

wget --ca-certificate=cafile https://sourceforge.net/

导出为：

一些背景：我正在使用来自 https://curl.se/docs/caextract.html 的证书包。

出于某种原因 PHP 无法验证“USERTrust RSA 证书颁发机构”颁发的证书，尽管根证书似乎存在于捆绑包中。例如证书 sectigo.com 本身。这是我试图找到根本原因或解决方法的一部分。

Answer 1

Whosebug 仅提供服务器证书和中间 ca 证书。不是根 CA 证书。

openssl cafile 只有在完整链（到自签名根 ca）可以通过验证时才有效，

因此您要么必须通过下载来信任您自己的 ROOT CA，要么使用某种 pki 以便您拥有所有全球信任的根 CA。

在基于 Debian GNU / Linux 的机器上，您可以安装 ca-certificates 包， sudo apt-get install ca-certificates

或者您可以使用来自 mozilla 的 cacert https://curl.haxx.se/docs/caextract.html

Answer 2

从这里下载 CA 证书https://curl.haxx.se/ca/cacert.pem
执行以下代码：

<?php

$context = stream_context_create([
    "ssl" => [
        "cafile" => "cacert.pem"
    ]
]);

file_get_contents("https://whosebug.com/", false, $context);

您不会看到任何错误

说明：关于 documentation cafile 接受 Certificate Authority file 但你试图将链证书

Answer 3

可能有误会。 stream_context_create()是创建一个TCP服务器。它可以处理握手，但这样做必须有一个完整的密钥环，格式如下：

这是由 openssl 生成的 .crt 和私有 .key 文件，合并为一个文件。

-----BEGIN CERTIFICATE-----
MIIDaDCCAlCgAwIB(...)
-----END CERTIFICATE-----
-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAK(...)
-----END RSA PRIVATE KEY-----

有了这样的密钥环，我就能够实施 ssl/https 并保护 wss:// websockets 服务器。

不确定您要做什么，为什么 file_get_contents() 在没有上下文的情况下不起作用。通常你不必导入任何CAcert，如果是的话，它属于浏览器。

这在企业环境中很有用，或者可以避免 self_signed 密钥环出错。

因此，只是有什么问题：

echo file_get_contents("https://whosebug.com/");

或

wget https://sourceforge.net/

一切顺利。

请准确说明您要实现的目标，从围绕 ssl 和 php 的实验中得到很多笔记。

要提取给定服务器的 public 密钥，您必须在端口 443 上查询：

<?php
$opt = [
  "capture_peer_cert" => true,
  "capture_peer_cert_chain" => true
];
$a = stream_context_create(["ssl"=>$opt]);
$b = stream_socket_client("tls://whosebug.com:443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $a);
$cont = stream_context_get_params($b);
$key = openssl_pkey_get_public($cont["options"]["ssl"]["peer_certificate"]);
$c = openssl_pkey_get_details($key);
var_dump($c["key"]);

输出

string(451) "-----BEGIN PUBLIC KEY-----
MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEAqdWs0NgjFlLV6yGQxYpu
7btsRTRWEi7fpSI8mSdTHgiZJY42ojQdNoLinhUUrj7DJNid18/DpjqBH271UHoz
HGsOogVT9VfkIRfiYYMjjkUJGUFfCSefCHDidT8KJMjAgDDlr3cR82o+9417MQvp
//jFO8rqvmNi7mRNYUGLX7WImv3tELZzw1JaZ41Ene2BA7wMzZymN/q9bJhThwoQ
4wMTLFvpSXyi7HDSrKZ3IobMdeiYWXBmW14jzznfdAf8wOcTRTglKJZXbTAHcRRy
qCmKTZoFq0MFbwwe1QhgENwojRkb3XDGv06QeElbGXNOwuk7w9+Xa9MC6GTeFqin
6wIDAQAB
-----END PUBLIC KEY-----
"

以 PHP SSL 上下文选项 "cafile" 可接受的格式导出 HTTPS 证书

Export HTTPS certificate in a format acceptable for PHP SSL context option "cafile"

php

ssl

https

openssl

ca