SOAP::Lite und certificate verify failed (gelöst) (Fragen zu Perl-Modulen)

[thread]17824[/thread]

SOAP::Lite und certificate verify failed [gelöst]

Tags: perl5 Ähnliche Threads

Leser: 16

Articles: hide open all | hide show old branches

+11 replies
bianca

2012-10-11 07:21
User since
2009-09-13
7016 Artikel
BenutzerIn
Guten Morgen!
Seit genau drei Tagen (vermutlich ein Update von SOAP::Lite auf 0.715) habe ich mit dem Modul ein Problem. Bis dahin mit 0.712 war alles in Butter. Am Code wurde nichts geändert, es lief einfach.
Problem scheint aber nur auf dem Linux Webserver zu entstehen, nicht auf Windows.
Folgender Code:
Code (perl): (dl )

1 2 3 4 5 6 7

#!/usr/bin/perl use strict; use warnings; require SOAP::Lite; my $soap = SOAP::Lite->new(); my $service = $soap->service('https://ssl.ibanrechner.de/soap?wsdl'); my $hash_ref = $service->country_supported('DE','meinuser','meinpw');
führt zu folgender Meldung im error.log:

Quote
Service description 'https://ssl.ibanrechner.de/soap?wsdl' can't be loaded: 500 Can't connect to ssl.ibanrechner.de:443 (certificate verify failed)

Serverbetreiber sagt, am Server bzw. openssl liegt es nicht.
Anbieter des Service sagt, am Zertifikat liegt es nicht und ich brauche vielleicht das Zertifikat und gibt mir diesen URL: https://www.startssl.com/certs/
Da liegen zig Dateien.
Nun dachte ich, benutze ich für SOAP::Lite den Parameter
Code (perl): (dl )

1 2 3 4

$soap->transport->ssl_opts( SSL_cert_file => 'client-cert.pem', SSL_key_file => 'client-key.pem' );
Nun aber die Frage: Welche Dateien muss ich mir dafür bei startssl runterladen?
Oder ist der Ansatz ganz falsch?
10 print "Hallo"
20 goto 10
- GwenDragon
  
  2012-10-11 11:12
  
  User since
  2005-01-17
  14760 Artikel
  Admin1
  
  Wieso musst du dir bei startssl was runter laden? In jedem Linux-System werden die Zertifikate doch bei Updates aktuell gehalten. Die liegen in /etc/ssl/certs oder /usr/lib/ssl/certs.
  
  Mach mal ls /etc/ssl/certs | grep -i startcom in der Shell.
  Bei mir sind Startcom_Certification_Authority.pem und StartCom_Ltd..pem vorhanden:
  root@debianserver:~# ls /etc/ssl/certs/ | grep -i startcom StartCom_Certification_Authority.pem StartCom_Ltd..pem root@debianserver:~#
  Schau mal nach, die StartCom.... sollten auch da sein.
  
  Ich kann mich mit
  openssl s_client -connect ssl.ibanrechner.de:443 -CApath /etc/ssl/certs -status verbinden, dabei zeigt ganz am Schluss die Melduung bei SSL Session:
  
  Quote
  Compression: 1 (zlib compression)
  Start Time: 1349946281
  Timeout : 300 (sec)
  Verify return code: 0 (ok)
  
  Aber vielleicht fehlen dir diese Zertifikate (schlecht gemanagter Rechner):
  StartCom Extended Validation Server CA
  StartCom Certification Authority
  
  Nimmst du einfach https://www.startssl.com/certs/ca-bundle.crt da ist alles drin, lädtst es herunter, benennst es in startcom_ca.crt um und kopierst es in /etc/ssl/certs/.
  Dann rufst du update-ca-certificates auf.
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
- +6 replies
- GwenDragon
  
  2012-10-11 11:21
  User since
  2005-01-17
  14760 Artikel
  Admin1
  Andere Möglichkeit (ungetestet), dass deine Umgebungsvariablen auf die Zertifikate nicht stimmen.
  
  Code (perl): (dl )
  
  1 2
  
  $ENV{HTTPS_CA_FILE} = '/etc/ssl/certs/ca-bundle.crt'; $ENV{HTTPS_CA_DIR} = '/etc/ssl/certs/';
  
  http://search.cpan.org/perldoc?Crypt%3A%3ASSLeay#C...
  
  //EDIT:
  Oder
  
  Code (perl): (dl )
  
  $ENV{HTTPS_CA_FILE} = '/etc/ssl/certs/ca-certificates.crt';
  
  je nach System.
  Du muss mal schauen, welches das größte (weil dort alle einzelnen CAs drin sind) ist.
  Last edited: 2012-10-11 11:44:07 +0200 (CEST)
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +5 replies
  - bianca
    
    2012-10-11 14:39
    
    User since
    2009-09-13
    7016 Artikel
    BenutzerIn
    
    So hab ich es gemacht.
    Vielen Dank Gwendragon!
    10 print "Hallo"
    20 goto 10
    - +4 replies
    - GwenDragon
      
      2012-10-11 14:53
      
      User since
      2005-01-17
      14760 Artikel
      Admin1
      
      Schön, dass du es gelöst hast.
      Aber woran lags genau? fehlende Umgebungsvariable HTTPS_CA_FILE?
      *neugier* ;)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +3 replies
      - bianca
        
        2012-10-11 14:58
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        2012-10-11T12:53:10 GwenDragon
        Aber woran lags genau?
        
        Ich habe die Datei https://www.startssl.com/certs/ca-bundle.crt lokal abgelegt und die Variable $ENV{'HTTPS_CA_FILE'} darauf gesetzt.
        Ist das denn in SOAP::Lite neu seit 0.715? Oder wie kann das sein, dass das so plötzlich Fehler hervorruft bei vollkommen unverändertem Code?
        10 print "Hallo"
        20 goto 10
        
        +2 replies
        
        GwenDragon
        
        2012-10-11 15:38
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        2012-10-11T12:58:31 bianca
        Ist das denn in SOAP::Lite neu seit 0.715? Oder wie kann das sein, dass das so plötzlich Fehler hervorruft bei vollkommen unverändertem Code?
        Da bin ich überfragt welche Module sich bei dir wirklich geändert haben.
        Ansosten schau mal auf https://metacpan.org/module/SOAP::Lite und auch dort für deine installierten SOAP-Transport- und SSL-Module, und dort kannst du links bei Tools ein Diff mit vorherigen Versionen ansehen.
        <lazy mode=1>Es ist mir zu zeitaufwändig</lazy> dir die diffs deiner Module raus zu suchen. ;)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        bianca
        
        2012-10-11 19:30
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        2012-10-11T13:38:53 GwenDragon
        Da bin ich überfragt welche Module sich bei dir wirklich geändert haben.
        
        Das ist klar. Ich dachte halt, dass jemand zufällig weiß, dass sich in dem oder dem Modul etwas dahingehend geändert hat.
        Denn irgendwie beschleicht mich das Gefühl, dass das Zertifikat bis vorgestern garnicht geprüft wurde. Und das alles, ohne dass man davon etwas gemerkt hätte.
        Ist schon ziemlich merkwürdig in meinen Augen.
        10 print "Hallo"
        20 goto 10
- +3 replies
- bianca
  
  2014-06-27 07:52
  
  User since
  2009-09-13
  7016 Artikel
  BenutzerIn
  
  Habe diesen Fehler hier wieder, weil der Anbieter von StartSSL zu Comodo gewechselt ist. Hat Comodo auch ein solches Universal CA File wie StartSSL? Falls ja, unter welchem Begriff finde ich das?
  10 print "Hallo"
  20 goto 10
  - +2 replies
  - GwenDragon
    
    2014-06-27 10:08
    User since
    2005-01-17
    14760 Artikel
    Admin1
    
    Die Zertifikatskette des Servers ist:
    
    Code: (dl )
    
    1 2 3 4 5 6 7
    
    Certificate chain 0 s:/C=DE/postalCode=49205/ST=Niedersachsen/L=Hasbergen/street=Kiefernweg 8/O=Theano GmbH/OU=Multi-Domain SSL/CN=ssl.ibanrechner.de i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Organization Validation Secure Server CA 1 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Organization Validation Secure Server CA i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority 2 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Certification Authority i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
    
    Ich kann in dem Durcheinander bei Comodo auf deren Webseite nichts finden, da habe ich die Comodo CA-Zertifikate von meinem Server gefischt und dir als tar gepackt.
    Anhänge
    
    application/x-tar
    comodo.tar
    
    die Drachin Gwen
    
    Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
    - bianca
      
      2014-06-27 11:01
      
      User since
      2009-09-13
      7016 Artikel
      BenutzerIn
      
      Danke dir vielmals!
      Es hat folgende Kette für SOAP::Lite ausgereicht:
      
      COMODORSAAddTrustCA.crt
      +
      COMODORSAOrganizationValidationSecureServerCA.crt
      +
      AddTrustExternalCARoot.crt
      10 print "Hallo"
      20 goto 10

View all threads created 2012-10-11 07:21.