state=error: certificate verify failed (certificate has expired)

Vollständige Meldung: „SSL_connect returned=1 errno=0 peeraddr=<ip>:<port> state=error: certificate verify failed (certificate has expired)“. Zertifikate, die noch nicht gültig sind, erzeugen „(certificate is not yet valid)“.

Ruby openssl (Net::HTTP, Faraday, RubyGems) — OpenSSL::SSL::SSLError from SSL_connect

Was der Fehler bedeutet

OpenSSL hat in der Kette ein Zertifikat gefunden, dessen Gültigkeitszeitraum vor der aktuellen Uhrzeit des Rechners endete, auf dem Ruby läuft. Meist wurde das Zertifikat des Servers nicht erneuert oder die Erneuerung nicht ausgerollt; auf alten Systemen kann ein veraltetes CA-Bundle dazu führen, dass OpenSSL den Pfad über ein abgelaufenes Root-Zertifikat aufbaut.

Warum der Fehler auftritt

• Das Zertifikat des Servers ist abgelaufen

  häufig

  Die Erneuerung ist fehlgeschlagen, oder der Dienst wurde nach der Erneuerung nicht neu geladen.

• Ein veraltetes CA-Bundle auf einem alten System

  gelegentlich

  Langlebige Images und Server, deren Paket ca-certificates nie aktualisiert wurde, kennen möglicherweise nur abgelaufene Versionen öffentlicher Root-Zertifikate.

• Die Systemuhr geht falsch

  gelegentlich

  Geht die Systemuhr vor, wirken gültige Zertifikate abgelaufen.

So behebst du den Fehler

1. 1.

   Enddatum des ausgelieferten Zertifikats prüfen

   Liegt es in der Vergangenheit, erneuere das Zertifikat; passt es, sieh dir Bundle und Uhr des Clients an.

   echo | openssl s_client -connect api.example.com:443 -servername api.example.com 2>/dev/null \
     | openssl x509 -noout -subject -enddate

2. 2.

   CA-Bundle des Clients aktualisieren

   Aktualisierst du ca-certificates, behebt das den Fehler bei Clients, die Pfade über ausgemusterte Root-Zertifikate aufbauen.

   # Old images: refresh the CA bundle Ruby's OpenSSL uses
   apt-get update && apt-get install --only-upgrade -y ca-certificates
   ruby -ropenssl -e 'p OpenSSL::X509::DEFAULT_CERT_FILE'

3. 3.

   Zertifikat erneuern und Server neu laden

   Erneuere das Zertifikat und lade den TLS-Terminator neu; prüfe das Ergebnis von der Netzwerkseite aus.

   sudo certbot renew && sudo systemctl reload nginx

← Gesamte Signaturfehler-Datenbank durchsuchen