主页 / server / 问题 / 27006
In Process
Tom Ritter
Asked: 2009-06-17 19:34:58 +0800 CST

svn 不会接受我的无效证书

  • 772
  • 我有一个运行 apache 的服务器，它带有一个自签名证书（服务器），并且挂上了 subversion
  • 它需要用户名才能从 repo 中签出或更新。
  • 我从 repo 结帐，我试图更新两台服务器上的 cron 作业：服务器和客户端。由于相同的原因，这两个 cron 作业都不会起作用（我在两者上的设置几乎相同，但客户端更简单）。
  • 以下是在客户端，只有一个登录：root（我知道，请不要嘲笑我）
  • 如果你认为这很重要，他们都是 gentoo

错误

Error validating server certificate for 'https://server:443':
 - The certificate is not issued by a trusted authority. Use the
   fingerprint to validate the certificate manually!
 - The certificate hostname does not match.
Certificate information:
 - Hostname: Tom
 - Valid: from Sun, 01 Feb 2009 03:51:25 GMT until Tue, 01 Feb 2011 03:51:25 GMT
 - Issuer: Fake Company, NYC, New York, US
 - Fingerprint: fingerprint here

   (R)eject, accept (t)emporarily or accept (p)ermanently? 
svn: OPTIONS of 'https://server/svn/repo': Server certificate verification failed: certificate issued for a different hostname, issuer is not trusted (https://server)

我知道这一切。这就是为什么我按照所有指南让 svn 自动接受证书的原因：

/root/.subversion/servers

[global]
ssl-authority-files = /root/scripts/server.crt

/root/scripts/server.crt

-----BEGIN CERTIFICATE-----
MIIDejCCAmICCQDibo0twimetjANBgkqhkiG9w0BAQUFADB/MQswCQYDVQQGEwJV
UzERMA8GA1UECBMITmV3IFlvcmsxDDAKBgNVBAcTA05ZQzEjMCEGA1UEChMaSGFw
et al
-----END CERTIFICATE-----

/root/scripts/backup.sh

svn up /BACKUP/checkouts/server/ --username tom

并且该命令以 root 身份运行（没有 sudo，直接以 root 身份）运行，没有提示确认证书（以前有，但我选择 p 表示永久接受）。

有谁知道为什么我的脚本不起作用？在过去的几个月里，我一直很烦。

**编辑：**我花了一点时间才回到这一点，我听从了大卫的建议，但它仍然不起作用。现在错误是：

Error validating server certificate for 'https://server:443':
 - The certificate is not issued by a trusted authority. Use the fingerprint to validate the certificate manually!
Certificate information:
 - Hostname: server
 - Valid: from Sat, 20 Jun 2009 14:10:45 GMT until Mon, 20 Jun 2011 14:10:45 GMT
 - Issuer: Fake Company, New York, US
 - Fingerprint: 1a:c6:9c:eb:62:9e:e1:05:d9:d3:ac:01:f4:35:dc:00:14:48:e5:39
(R)eject, accept (t)emporarily or accept (p)ermanently? svn: OPTIONS of 'https://server/svn/folder': Server certificate verification failed: issuer is not trusted (https://server)
linux svn permissions https certificate-authority

9 个回答

  1. 验证“https:// server :443”的服务器证书时出错：
 - 证书不是由受信任的机构颁发的。使用
   指纹手动验证证书！
 - 证书主机名不匹配。
证书信息：
 - 主机名：汤姆
 - 有效期：从 2009 年 2 月 1 日星期日 03:51:25 GMT 到 2011 年 2 月 1 日星期二 03:51:25 GMT
 - 发行人：Fake Company，NYC，纽约，美国
 - 指纹：指纹在这里

    问题是您的证书与服务器的主机名不匹配。您需要证书中的 CN 字段来匹配您的主机名。在您的情况下，您的主机名是“server”，证书的 CN 是“Tom”。您需要使用正确的 CN 值重新生成证书。

    • 5

  2. 需要注意的一件事 - 许多 cron 作业使用不同的 HOME 运行（例如 /etc/crontab (cron.daily 等）设置 HOME=/)，因此它具有不同的 .subversion 文件。只是在这里咬我们，有一个 /.subversion 树没有接受的证书。在 cron 脚本中正确设置 HOME 修复了它。

    • 2

  3. 您是否尝试设置ssl-trust-default-ca为true？我不知道是否能解决您的问题，但我在带有 Subversion 的版本控制一书中看到了这个建议。

    许多 OpenSSL 安装还具有一组预定义的“默认”CA，这些 CA 几乎是普遍受信任的。要使 Subversion 客户端自动信任这些标准权威，请将 ssl-trust-default-ca变量设置为true.

    • 1

  4. 只需将其添加到参数中

    --trust-server-cert-failures="other,unknown-ca,cn-mistmatch,expired"
    • 1

  5. 有几个解决方案可以解决想到的问题。首先，您可以在 Apache 中创建一个不使用此证书（纯 http）的新 webdav 虚拟主机。或者，您可以对 cron 作业使用 svn+ssh 访问方法和私钥身份验证（可能存在安全风险）。

    如果您无法解决证书问题，或者与 https webdav 访问无关，我只会走这条路。

    • 0

  6. 你可以：

    echo t | svn update --username yourusername--password yourpassword --no-auth-cache /local.repository/path 2>/dev/null
    • 0

  7. 这个问题的答案帮助我组装了解决我遇到的类似问题所需的部分。这只是为像我这样的其他 linux 新手预先组装这些部件。

    测试您通过 cron 运行的脚本

    须藤

    而不是我使用的

    须藤-s

    否则主目录和其他变量不会像 cron(root) 运行时那样

    其次不要使用“--no-auth-cache”。如果添加该开关，您将永远无法永久接受证书。

    使用上述方法，我能够通过 sudo su 运行一次脚本，永久接受证书，随后的 cron 运行正常。

    • 0

  8. 您可以尝试手动验证证书：

    $ openssl x509 -noout -fingerprint -in cert.pub
MD5 Fingerprint=0D:89:07:D6:4F:BC:84:2E:2E:14:C2:DA:D4:3B:D5:7C
    • 0

  9. 把它放在你的脚本中：

    # svn up /BACKUP/checkouts/server/ --username tom –config-dir /xyz/zyx

    config-dir 可以是您想要存储证书信息的任何位置。在从 cron 运行它之前，手动运行它并使用“p”永久接受证书。

    一旦被接受，通过 cron 运行它，我相信它会像魅力一样工作。

    还有一个选项（如果以前的选项无论如何都不起作用），这在其他环境中是有风险的，但在您的环境中，应该没问题。使用这样的脚本：

    # svn up /BACKUP/checkouts/server/ --username tom --non-interactive –-trust-server-cert

    这将简单地接受证书而无需打扰。在生产环境中不建议这样做，因为这是一种安全风险，但在您使用自制证书的情况下，您可以使用它。

    资料来源：GeekRide

    • 0

相关问题