¿Por qué cURL no puede verificar correctamente un certificado en Windows?

Cuando intento usar Curl en Windows, para recuperar una httpsurl, aparece el temido "error de conexión (60)".

El mensaje de error exacto es:

curl: (60) Problema con el certificado SSL, verifique que el certificado de CA esté bien. Detalles:
error: 14090086: rutinas SSL: SSL3_GET_SERVER_CERTIFICATE: verificación del certificado falló
Más detalles aquí: http://curl.haxx.se/docs/sslcerts.html

¿Cómo resolver esto?

No sé por qué, pero no encontré toda esta información en un solo lugar.

1. Descargue la versión compatible con SSL de Curl o cree la versión compatible con SSL usted mismo.

2. Desde http://curl.haxx.se/docs/caextract.html , descargue el archivo cacert.pem.

3. Coloque el archivo curl.exe y .pem en el mismo directorio.

4. Cambie el nombre del cacert.pemarchivo acurl-ca-bundle.crt

5. Vuelva a ejecutar curl.exe!

EDITAR:

Hay otras formas de resolver el problema. Esta forma particular se basa en un concierto producido por el creador de Curl. Es posible que eso no sea lo que desea, y en particular, puede que no funcione para los casos en que tenga una autoridad de certificación poco conocida (como una autoridad conocida solo por su empresa) para el certificado utilizado por el sitio SSL . En ese caso, querrás generar tu propio curl-ca-bundle.crtarchivo. Puede usar certreq.exe y openssl.exe para exportar dicho certificado de la tienda IE / Windows y luego convertirlo a formato pem, respectivamente.

He creado un script de PowerShell que es capaz de escribir el ca-cert.crtarchivo en función de los certificados de CA que están instalados en su tienda de certificación de Windows (CurrentUser o LocalMachine). Ejecute el script así:

CreateCaCert.ps1 -StoreLocation CurrentUser | Out-File -Encoding utf8 curl-ca-cert.crt

Esto creará el curl-ca-cert.crtarchivo que debería almacenarse en el mismo directorio curl.exey debería poder validar los mismos sitios que pueda en sus aplicaciones de Windows (tenga en cuenta que este archivo también puede ser consumido por git).

El script "oficial" se puede encontrar en GitHub , pero la versión inicial se enumera aquí como referencia:

[CmdletBinding()]
Param(
    [ValidateSet(
        [System.Security.Cryptography.X509Certificates.StoreLocation]::CurrentUser,
        [System.Security.Cryptography.X509Certificates.StoreLocation]::LocalMachine)]
    [string]
    $StoreLocation = [System.Security.Cryptography.X509Certificates.StoreLocation]::CurrentUser
)

$maxLineLength = 77

# Open the store
$store = New-Object System.Security.Cryptography.X509Certificates.X509Store ([System.Security.Cryptography.X509Certificates.StoreName]::AuthRoot, $StoreLocation)
$store.Open([System.Security.Cryptography.X509Certificates.OpenFlags]::ReadOnly);

# Write header
Write-Output "# Root certificates ($StoreLocation) generated at $(Get-Date)"

# Write all certificates
Foreach ($certificate in $store.Certificates)
{
    # Start with an empty line
    Write-Output ""

    # Convert the certificate to a BASE64 encoded string
    $certString = [Convert]::ToBase64String($certificate.Export([System.Security.Cryptography.X509Certificates.X509ContentType]::Cert));

    # Write the actual certificate
    Write-Output "# Friendly name: $($certificate.FriendlyName)"
    Write-Output "# Issuer:        $($certificate.Issuer)"
    Write-Output "# Expiration:    $($certificate.GetExpirationDateString())"
    Write-Output "# Serial:        $($certificate.SerialNumber)"
    Write-Output "# Thumbprint:    $($certificate.Thumbprint)"
    Write-Output "-----BEGIN CERTIFICATE-----"
    For ($i = 0; $i -lt $certString.Length; $i += $maxLineLength)
    {
        Write-Output $certString.Substring($i, [Math]::Min($maxLineLength, $certString.Length - $i))
    }
    Write-Output "-----END CERTIFICATE-----"
}

En realidad tuvimos el mismo problema con Typheous / Ruby. La solución fue descargar el cacert.pem y guardarlo en C: \ Windows \ System32 (o donde sea que esté su Windows). Después de eso, establecemos una variable de entorno global como la descrita aquí, donde debe estar CURL_CA_BUNDLEel " Nombre de la variable" y el "Valor de la variable" la ruta al archivo %SystemRoot%\System32\cacert.pem.

Al comenzar una nueva sesión de CMD, ahora puede usar Typheous / Libcurl para autenticar las conexiones SSL. He intentado esto con éxito con Windows 8.1.