在 SSL/TLS 領域，「無法取得本機頒發者憑證」錯誤是開發人員和系統管理員在使用安全連線時遇到的常見障礙。當憑證鏈無法完全驗證時，通常會出現此錯誤，這表示系統無法驗證憑證的真實性，因為它無法識別頒發者。了解此錯誤對於確保依賴 SSL/TLS 的 Web 應用程式、伺服器和其他系統中的安全通訊至關重要。
什麼是 SSL/TLS？
SSL（安全通訊端層）及其後繼者 TLS（傳輸層安全性）是加密協議，旨在透過電腦網路提供安全通訊。它們廣泛用於保護網路流量、電子郵件和其他形式的通訊。 SSL/TLS 的主要目的是確保通訊會話中各方之間的隱私、資料完整性和身分驗證。
SSL/TLS 依賴憑證來建立信任。這些憑證由稱為憑證授權單位 (CA) 的受信任實體所核發。建立安全連線後，伺服器將其憑證提供給用戶端，用戶端根據受信任的 CA 清單驗證該憑證。如果憑證有效且 CA 受信任，則連線將繼續。如果沒有，可能會出現「無法取得本地頒發者憑證」之類的錯誤。
憑證鏈的剖析
證書鏈也稱為證書路徑，是一系列證書，其中鏈中的每個證書都由後續證書簽署。該鏈從最終用戶憑證開始，一直到由 CA 自簽署的根憑證。憑證鏈的典型結構包括：
- 最終使用者憑證：這是相關網站或服務的憑證。
- 中間證書：這些證書彌補了最終用戶證書和根證書之間的差距。它們由 CA 頒發，必須得到客戶端的信任。
- 根證書：根證書是鏈中最頂層的證書，由 CA 自簽署。它通常預先安裝在系統的憑證儲存中。
為了使憑證可信，從最終使用者憑證到根憑證的整個鏈必須有效並被系統識別。如果該鏈中的任何環節遺失或無法識別，就會發生錯誤。
是什麼原因導致「無法取得本地頒發者憑證」錯誤？
當由於用戶端無法在其信任儲存中找到中間憑證或根憑證而無法驗證伺服器提供的憑證時，會出現「無法取得本機發行者憑證」錯誤。有幾個因素可能導致此錯誤：
- 缺少中級證書：
o 如果伺服器無法提供完整的憑證鏈，則用戶端可能無法驗證憑證。當伺服器僅發送最終用戶證書而不包含中間證書時，這種情況很常見。
- 過時或不完整的憑證儲存：
o 用戶端的憑證儲存可能沒有所需的中間憑證或根憑證。如果系統的證書儲存已過時或尚未安裝必要的證書，則可能會發生這種情況。
- 自簽名憑證：
o 如果使用自簽名憑證且用戶端不信任該憑證，則連線將失敗並出現此錯誤。這在使用自簽名憑證用於測試目的的開發環境中經常出現。
- 配置不當：
o 有時，伺服器上的錯誤配置（例如憑證檔案的路徑不正確）可能會導致伺服器傳送不完整或不正確的憑證鏈。
- 過期證書：
o 如果鏈中的任何憑證已過期，用戶端可能無法驗證鏈，導致此錯誤。
故障排除和解決錯誤
要解決「無法取得本地頒發者證書」錯誤，可以根據根本原因採取幾個步驟：
- 確保發送完整的憑證鏈：
o 伺服器應配置為傳送完整的憑證鏈，包括最終使用者憑證和所有中間憑證。這通常是透過將憑證連接到單一檔案或確保伺服器軟體配置為引用所有必要的憑證來完成的。
- 更新客戶端的憑證儲存：
o 如果用戶端的憑證儲存已過時，則應使用最新憑證進行更新。在大多數作業系統上，這可以透過套件管理器或系統更新來完成。例如，在 Linux 上，更新 ca-certificates 套件可以刷新憑證儲存。
- 手動新增缺少的證書：
o 如果特定的中間憑證或根憑證遺失，可以將它們手動新增至用戶端的憑證儲存體。這是透過從 CA 網站取得遺失的憑證並將其安裝到信任儲存中來完成的。
- 檢查過期證書：
o 使用 OpenSSL 等工具檢查鏈中憑證的有效性。如果任何憑證已過期，則必須更新或更換。
- 使用正確的伺服器設定：
o 確保伺服器已正確配置為指向正確的憑證檔案。檢查伺服器的 SSL/TLS 設定以驗證憑證路徑是否正確設定以及檔案是否可存取。
- 切換到受信任的 CA：
o 如果自簽名憑證導致問題，請考慮改用受信任 CA 所核發的憑證。現在許多服務都提供免費的 SSL/TLS 憑證（例如 Let’s Encrypt），大多數客戶可以輕鬆安裝和識別該憑證。
診斷錯誤的工具
有幾種工具可以幫助診斷和修復「無法取得本地頒發者證書」錯誤：
- OpenSSL：
o OpenSSL 是一種廣泛使用的工具，用於管理 SSL/TLS 憑證並進行故障排除。像 openssl s_client -connect 這樣的指令可用來檢查伺服器提供的憑證鏈。
- SSL 實驗室 SSL 測試：
o SSL 實驗室 SSL 測試是一項線上服務，可分析伺服器的 SSL/TLS 配置並提供有關憑證鍊和潛在問題的詳細資訊。
- 使用詳細選項進行捲曲：
o 命令列工具 Curl 與 -v 選項一起使用時，可以深入了解 SSL/TLS 握手過程並找出憑證驗證失敗的位置。
- 瀏覽器開發工具：
o 現代網頁瀏覽器隨附包含安全面板在內的開發人員工具。這些可用於檢查任何網站的憑證鏈並識別遺失或不受信任的憑證。
結論
「無法取得本機頒發者憑證」錯誤是使用 SSL/TLS 時出現的常見問題，特別是在安全通訊至關重要的環境中。透過了解憑證鏈的結構以及導致此錯誤的因素，您可以有效地診斷和解決問題。無論是更新用戶端的憑證儲存、確保發送完整的憑證鏈，還是切換到受信任的 CA，都有多種策略可以緩解此問題並確保安全、可靠的通訊。
以上是了解「無法取得本地頒發者證書」錯誤的詳細內容。更多資訊請關注PHP中文網其他相關文章！
