Nie można rozwiązać problemu „nie można uzyskać lokalnego certyfikatu wystawcy” za pomocą git w systemie Windows z certyfikatem z podpisem własnym

Korzystam z Git w systemie Windows. Zainstalowałem pakiet msysGit. Moje repozytorium testowe ma samopodpisany certyfikat na serwerze. Mogę bez problemu uzyskiwać dostęp do repozytorium i korzystać z niego przy użyciu protokołu HTTP. Przejście na HTTPS powoduje błąd:

Problem z certyfikatem SSL: nie można uzyskać lokalnego certyfikatu wystawcy.

Mam samopodpisany certyfikat zainstalowany w Zaufanych głównych urzędach certyfikacji mojego komputera z systemem Windows 7. Mogę przeglądać adres URL repozytorium HTTPS w Internet Explorerze bez komunikatów o błędach.

W tym poście Philipa Kelleya wyjaśniono, że cURL nie używa magazynu certyfikatów komputera klienckiego. Postępowałem zgodnie z radą posta na blogu, aby utworzyć prywatną kopię curl-ca-bundle.crti skonfigurować Gita, aby z niej korzystał. Jestem pewien, że Git używa mojej kopii. Jeśli zmienię nazwę kopii; Git skarży się, że brakuje pliku.

Wkleiłem w certyfikacie, jak wspomniano w poście na blogu, nadal pojawia się komunikat „nie mogę uzyskać certyfikatu lokalnego wystawcy”.

Sprawdziłem, że Git nadal działa, klonując repozytorium GitHub za pośrednictwem HTTPS.

Jedyne, co widzę, różni się od posta na blogu, to to, że mój certyfikat jest katalogiem głównym - nie ma łańcucha, aby go osiągnąć. Mój certyfikat pierwotnie pochodził z kliknięcia linku Menedżer IIS8 IIS „Utwórz certyfikat z podpisem własnym”. Może to sprawia, że ​​certyfikat różni się w pewien sposób od tego, czego oczekuje cURL.

Jak mogę zmusić Git / cURL do zaakceptowania samopodpisanego certyfikatu?

Otwórz Git Bash i uruchom polecenie, jeśli chcesz całkowicie wyłączyć weryfikację SSL.

git config --global http.sslVerify false

Uwaga: to rozwiązanie może otworzyć cię na ataki typu man-in-the-middle . Dlatego włącz ponownie weryfikację jak najszybciej:

git config --global http.sslVerify true

Problem polega na tym, że git domyślnie korzysta z backendu kryptograficznego „Linux”.

Począwszy od Git dla Windows 2.14, możesz teraz skonfigurować Git do korzystania z SChannel, wbudowanej warstwy sieci Windows jako backendu kryptograficznego. Oznacza to, że będzie korzystał z mechanizmu przechowywania certyfikatów systemu Windows i nie trzeba jawnie konfigurować mechanizmu przechowywania curl CA: https://msdn.microsoft.com/en-us/library/windows/desktop/aa380123(v= vs.85) .aspx

Po prostu wykonaj:

git config --global http.sslbackend schannel

To powinno pomóc.

Używanie Schannel jest teraz standardowym ustawieniem podczas instalowania gita dla Windows, zaleca się również, aby nie sprawdzać repozytoriów przez SSH, jeśli to możliwe, ponieważ https jest łatwiejszy do skonfigurowania i jest mniej prawdopodobne, że zostanie zablokowany przez zaporę ogniową, co oznacza mniejsze prawdopodobieństwo awarii.

Też miałem ten problem. W moim przypadku próbowałem uzyskać hak Git po odbiorze, aby aktualizować kopię roboczą na serwerze przy każdym wypychaniu. Próbowałem postępować zgodnie z instrukcjami na blogu, do którego prowadziłeś link. Nie działało to również dla mnie, a nadpisywanie ustawień dla poszczególnych użytkowników również nie działało.

Ostatecznie musiałem wyłączyć weryfikację protokołu SSL (jak wspomniano w artykule) dla Git jako całości. Nie jest to idealne rozwiązanie, ale zadziała, dopóki nie znajdę lepszego.

Edytowałem plik tekstowy konfiguracji Git (z moją ulubioną neutralną aplikacją kończącą linię, taką jak Notepad ++) znajdującą się pod adresem:

C: \ Program Files (x86) \ Git \ etc \ gitconfig

W bloku [http] dodałem opcję wyłączenia sslVerify. Kiedy skończyłem, wyglądało to tak:

[http]
    sslVerify = false
    sslCAinfo = /bin/curl-ca-bundle.crt

To załatwiło sprawę.

UWAGA:

• Wyłącza to weryfikację SSL i nie jest zalecane jako rozwiązanie długoterminowe.

• Możesz wyłączyć to repozytorium, które wciąż nie jest świetne, ale lokalizuje ustawienie.

• Wraz z pojawieniem się LetsEncrypt.org jest teraz dość proste, zautomatyzowane i darmowe konfigurowanie SSL jako alternatywy dla certyfikatów z podpisem własnym i neguje potrzebę wyłączenia sslVerify.

kiddailey Myślę, że było dość blisko, jednak nie wyłączyłbym weryfikacji ssl, a raczej po prostu podałem lokalny certyfikat:

W pliku konfiguracyjnym Git

[http]
    sslCAinfo = /bin/curl-ca-bundle.crt

Lub za pomocą wiersza poleceń:

git config --global http.sslCAinfo /bin/curl-ca-bundle.crt

Ja także zmierzyłem się z tym problemem. I wreszcie udało się rozwiązać, uzyskując wskazówki z tego bloga MSDN .

Aktualizacja

W rzeczywistości musisz dodać certyfikat do pliku certyfikatów git curl-ca-bundel.cert, który znajduje się w katalogu Git \ bin.

Kroki

1. Otwórz stronę github w przeglądarce i kliknij ikonę kłódki na pasku adresu.
2. W otwartym małym wyskakującym okienku przejdź do linku „wyświetl certyfikat”, otworzy się okno wyskakujące.
3. W którym przejdź do zakładki certyfikaty (3. w moim przypadku). Wybierz górny węzeł, który jest certyfikatem głównym. I naciśnij przycisk kopiowania certyfikatu na dole i zapisz plik.
4. W Eksploratorze plików przejdź do katalogu Git \ bin i otwórz curl-ca-bundle.crt w edytorze tekstu.
5. Otwórz eksportowany plik certyfikatu (w kroku 3) również w edytorze tekstu.
6. Skopiuj całą zawartość z wyeksportowanego certyfikatu na koniec curl-ca-bundle.crt i zapisz.

Na koniec sprawdź status. Pamiętaj, że przed edycją wykonaj kopię zapasową pliku curl-ca-bundle.crt, aby zachować bezpieczeństwo.

Odpowiedź na to pytanie Użycie makecert dla programistów SSL naprawiło to dla mnie.

Nie wiem dlaczego, ale certyfikat utworzony przez prosty link „Utwórz certyfikat z podpisem własnym” w Menedżerze IIS nie rozwiązuje problemu. Podążyłem za tym podejściem w powiązanym pytaniu dotyczącym tworzenia i instalowania samopodpisanego katalogu głównego CA; następnie używając go do wystawienia certyfikatu uwierzytelnienia serwera dla mojego serwera. Zainstalowałem oba z nich w IIS.

To sprawia, że ​​moja sytuacja jest taka sama jak w blogu wymienionym w pierwotnym pytaniu. Po skopiowaniu / wklejeniu certyfikatu głównego do curl-ca-bundle.crt kombinacja git / curl została spełniona.

Aby uniknąć całkowitego wyłączenia weryfikacji ssl lub duplikowania / zhakowania dołączonego pliku certyfikatu CA używanego przez git, możesz wyeksportować łańcuch certyfikatów hosta do pliku i zmusić go do użycia:

git config --global http.https://the.host.com/.sslCAInfo c:/users/me/the.host.com.cer

Jeśli to nie zadziała, możesz wyłączyć weryfikację ssl tylko dla hosta:

git config --global http.https://the.host.com/.sslVerify false

Uwaga: Poddany możliwemu atakowi typu man in the middle, gdy weryfikacja ssl jest wyłączona.

Właśnie miałem ten sam problem, ale korzystałem z sourcetree w systemie Windows. Te same kroki dla normalnego GIT również w systemie Windows. Po wykonaniu poniższych kroków udało mi się rozwiązać ten problem.

1. Uzyskaj drzewo certyfikatów serwera Można to zrobić za pomocą chrome. Przejdź do adresu serwera. Kliknij ikonę kłódki i wyświetl certyfikaty. Wyeksportuj cały łańcuch certyfikatów do formatu plików zakodowanych w standardzie base64 (PEM).
2. Dodaj certyfikaty do łańcucha zaufania pliku konfiguracyjnego zaufania GIT Uruchom polecenie „git config --list”. znajdź konfigurację „http.sslcainfo”, która pokazuje, gdzie znajduje się plik zaufania certyfikatu. Skopiuj wszystkie certyfikaty do pliku łańcucha zaufania, w tym „- -BEGIN- -” i „- -END- -”.
3. Pamiętaj, aby dodać cały łańcuch certyfikatów do pliku certyfikatów

To powinno rozwiązać problem z samopodpisanymi certyfikatami i korzystaniem z GIT.

Próbowałem użyć konfiguracji „http.sslcapath”, ale to nie działało. Również jeśli nie dołączę całego łańcucha do pliku certyfikatów, to również się nie powiedzie. Jeśli ktoś ma wskaźniki na nich, daj mi znać, ponieważ powyższe należy powtórzyć dla nowej instalacji.

Jeśli jest to GIT systemowy, możesz użyć opcji w NARZĘDZIA -> karta GIT opcji, aby użyć GIT systemowego, co rozwiązuje problem również w sourcetree.

W przypadku repozytoriów github (lub jakichkolwiek certyfikatów niepodpisanych przez siebie) wybranie poniżej podczas instalacji Git-on-windows rozwiązało problem.

Miałem już ten problem i rozwiązałem go za pomocą następującej konfiguracji.

[http "https://your.domain"] sslCAInfo=/path/to/your/domain/priviate-certificate

Od wersji git 2.3.1 możesz wstawić https://your.domainpo http, aby wskazać, że następujący certyfikat jest tylko dla niego.

1. Pobierz certyfikat z tego linku: https://github.com/bagder/ca-bundle
2. Dodaj to do C:\Program Files\Git\bin iC:\Program Files\Git\mingw64\bin

Następnie spróbuj czegoś takiego: git clone https://github.com/heroku/node-js-getting-started.git

Jedną rzeczą, która mnie zawiodła, był format ścieżki (na moim komputerze z systemem Windows). Pierwotnie miałem to:

git config --global http.sslCAInfo C:\certs\cacert.pem

Nie udało się to jednak z powodu błędu „nie można uzyskać certyfikatu lokalnego wystawcy”.

W końcu zadziałało to:

git config --global http.sslCAInfo "C:\\certs\\cacert.pem"

W moim przypadku, ponieważ zainstalowałem terminal ConEmu dla Windows 7, tworzy on ca-bundlepodczas instalacji oC:\Program Files\Git\mingw64\ssl\certs .

Dlatego muszę uruchomić następujące polecenia na terminalu, aby działało:

$ git config --global http.sslbackend schannel
$ git config --global http.sslcainfo /mingw64/ssl/certs/ca-bundle.crt

Dlatego mój C:\Program Files\Git\etc\gitconfigzawiera następujące:

[http]
    sslBackend = schannel
    sslCAinfo = /mingw64/ssl/certs/ca-bundle.crt

Wybrałem również tę samą opcję, o której wspomniano tutaj podczas instalowania Gita.

Mam nadzieję, że to pomaga!

Aby naprawić błąd szczególny Problem z certyfikatem SSL: nie można uzyskać lokalnego certyfikatu wystawcy w git

Miałem ten sam problem z certyfikatami Let's Encrypt.

Witryna z https potrzebujemy tylko:

SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

ale git pull mówi:

fatal: unable to access 'https://example.com/git/demo.git/': SSL certificate problem: unable to get local issuer certificate

Aby to naprawić, musimy również dodać:

SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem

Użyj tego polecenia wcześniej, aby uruchomić aktualizację / instalację kompozytora:

git config --global http.sslverify false