带有自签名证书的 TLS

Question

我正在尝试使用自签名服务器证书建立 TLS 连接。

我使用此示例代码生成了证书：http://golang.org/src/pkg/crypto/tls/generate_cert.go

我的相关客户端代码如下所示：

// server cert is self signed -> server_cert == ca_cert
CA_Pool := x509.NewCertPool()
severCert, err := ioutil.ReadFile("./cert.pem")
if err != nil {
    log.Fatal("Could not load server certificate!")
}
CA_Pool.AppendCertsFromPEM(severCert)

config := tls.Config{RootCAs: CA_Pool}

conn, err := tls.Dial("tcp", "127.0.0.1:8000", &config)
if err != nil {
    log.Fatalf("client: dial: %s", err)
}

以及类似的相关服务器代码：

cert, err := tls.LoadX509KeyPair("./cert.pem", "./key.pem")
config := tls.Config{Certificates: []tls.Certificate{cert}}
listener, err := tls.Listen("tcp", "127.0.0.1:8000", &config)

for {
    conn, err := listener.Accept()
    if err != nil {
        log.Printf("server: accept: %s", err)
        break
    }
    log.Printf("server: accepted from %s", conn.RemoteAddr())
    go handleConnection(conn)
}

因为服务器证书是自签名的，所以对服务器和客户端 CA_Pool 使用相同的证书，但这似乎不起作用，因为我总是收到此错误：

client: dial: x509: certificate signed by unknown authority 
(possibly because of "x509: invalid signature: parent certificate
cannot sign this kind of certificate" while trying to verify 
candidate authority certificate "serial:0")

我的错误是什么？

Answer 1

它终于与内置于 x509.CreateCertificate 的 go 一起工作了， 问题是 我没有设置 IsCA:true 标志， 我只设置了 x509.KeyUsageCertSign，它使创建自签名证书工作，但在验证证书链时崩溃。

Answer 2

问题是你需要在服务器端配置一个CA 证书，而且这个CA 必须已经签署了服务器的证书。

我已经编写了一些将generate CA 证书的 Go 代码，但它没有经过任何人的审查，并且主要是一个玩弄客户端证书的玩具。最安全的选择可能是使用openssl ca 来生成和签署证书。基本步骤是：

1. 生成 CA 证书
2. 生成服务器密钥
3. 使用 CA 证书签署服务器密钥
4. 将 CA 证书添加到客户端的 tls.Config RootCAs
5. 使用服务器密钥和签名证书设置服务器的tls.Config。

Answer 3

凯尔，是正确的。这个工具会做你想做的，它简化了整个过程：

https://github.com/deckarep/EasyCert/releases（仅支持 OSX，因为它内部使用了 openssl 工具）

来源：

https://github.com/deckarep/EasyCert

基本上使用这个工具，它会生成一组文件，但你需要它完成后输出的三个文件。

1. CA 根 cer 文件
2. 服务器 cer 文件
3. 服务器密钥文件

Answer 4

就我而言，我附加的证书未以 pem 格式正确编码。 如果使用 keytools，请确保在从 keystore 导出证书时附加 -rfc，pem 编码可以在文本编辑器中打开以显示：

-----BEGIN CERTIFICATE----- MIIDiDCCAnCgAwIBAgIEHKSkvDANBgkqhkiG9w0BAQsFADBi...

Answer 5

我在 Go 中使用 mysql 客户端时看到了同样的错误：

Failed to connect to database:  x509: cannot validate certificate for 10.111.202.229 because it doesn't contain any IP SANs

并将InsecureSkipVerify 设置为true（跳过证书验证）为我解决了这个问题：

https://godoc.org/crypto/tls#Config

以下代码对我有用：

package main

import (
 "fmt"
 "github.com/go-sql-driver/mysql"
 "github.com/jinzhu/gorm"
 "crypto/tls"
 "crypto/x509"
 "io/ioutil"
 "log"
)

func main() {
    rootCertPool := x509.NewCertPool()
    pem, err := ioutil.ReadFile("/usr/local/share/ca-certificates/ccp-root-ca.crt")
    if err != nil {
            log.Fatal(err)
    }
    if ok := rootCertPool.AppendCertsFromPEM(pem); !ok {
        log.Fatal("Failed to append root CA cert at /usr/local/share/ca-certificates/ccp-root-ca.crt.")
    }
    mysql.RegisterTLSConfig("custom", &tls.Config{
        RootCAs: rootCertPool,
        InsecureSkipVerify: true,
    })

    db, err := gorm.Open("mysql", "ccp-user:I6qnD6zNDmqdDLXYg3HqVAk2P@tcp(10.111.202.229:3306)/ccp?tls=custom")
    defer db.Close()
}

Answer 6

您需要使用 InsecureSkipVerify 标志，请参阅https://groups.google.com/forum/#!topic/golang-nuts/c9zEiH6ixyw。

本帖相关代码（页面离线）：

smtpbox := "mail.foo.com:25"
c, err := smtp.Dial(smtpbox)

host, _, _ := net.SplitHostPort(smtpbox)
tlc := &tls.Config{
    InsecureSkipVerify: true,
    ServerName:         host,
}
if err = c.StartTLS(tlc); err != nil {
    fmt.Printf(err)
    os.Exit(1)
} 
// carry on with rest of smtp transaction 
// c.Auth, c.Mail, c.Rcpt, c.Data, etc