Cómo corregir un rizo: (60) Certificado SSL: Cadena de certificado no válida al usar sudo

Si almacena sus certificados de CA en el sistema de archivos (en formato PEM) puede decirle a curl que los use con

sudo curl --cacert /path/to/cacert.pem ...

También puede desactivar la verificación del certificado con

sudo curl --insecure ...

Editar: actualizado con respecto a los comentarios

Si desea establecer esto de forma permanente, debe crear un archivo .curlrc y colocarlo en su directorio de inicio. Los comandos sudo pueden necesitar este archivo en /var/root El archivo toma las mismas opciones que la línea de comandos pero sin los guiones. Una opción por línea:

cacert=/path/to/my/certs.pem

La raíz no lee la configuración de confianza del usuario actual, pero hay una configuración de confianza del administrador y una configuración de confianza específica del usuario raíz. (Estos también son distintos de la configuración de confianza del sistema ). Tenga en cuenta, además, que la configuración de la confianza del certificado es algo diferente de simplemente agregar un certificado a un llavero; Puede marcar un certificado como de confianza sin agregarlo completamente. (La situación exacta aquí no está clara para mí, y los documentos que he visto son vagos).

Puede marcar un certificado como de confianza para su usuario actual como

$ security add-trusted-cert /path/to/cert.pem

pero eso no ayuda con la raíz. La solución, como puede suponer ahora, es a sudo lo anterior, que luego lo marca como de confianza para el usuario root específicamente:

$ sudo security add-trusted-cert /path/to/cert.pem

o para usar el indicador -d para agregarlo a la configuración de confianza del administrador:

$ security add-trusted-cert -d /path/to/cert.pem

(OS X abrirá un diálogo de contraseña para confirmar este).

Cualquiera de los dos últimos parece ser suficiente para sudo curl .

Referencia: enlace

Esto está realmente en la sugerencia de salida:

echo insecure >> ~/.curlrc

La ventaja de usar la solución anterior es que funciona para todos los comandos curl , pero no se recomienda ya que puede introducir ataques MITM al conectarse a hosts inseguros y no confiables.

Si usa MacPorts (y el script de terceros que mencionó no lo elimina de $PATH o llama a /usr/bin/curl ) puede instalar los puertos certsync y curl en este orden.

certsync es una herramienta y una lista correspondiente de launchd que exportará su llavero del sistema a $prefix/etc/openssl/cert.pem e instalará un enlace simbólico $prefix/share/curl/curl-ca-bundle.crt -> $prefix/etc/openssl/cert.pem para que MacPorts curl recoja los certificados automáticamente. certsync también actualizará automáticamente los archivos generados cuando cambie el llavero de su sistema.

La documentación que busca está aquí. Explica cómo usar cURL en Mavericks y cómo suministrar sus certificados: enlace

Para hacer que sudo curl funcione (en OSX Sierra), tuvimos que importar el certificado al System.keychain y confiarlo allí. Esto se puede hacer manualmente en la aplicación Keychain o usando este comando:

sudo security add-trusted-cert -d -k /Library/Keychains/System.keychain /path/to/cert.pem

Era importante tanto especificar -d como configurar manualmente la ruta al llavero del sistema a través de -k para asegurarse de que el certificado realmente se importa allí si aún no lo está.

El comando funciona sin sudo , pero luego solicita la contraseña a través de un diálogo de IU, lo que podría ser un obstáculo para los scripts.

Una forma de solucionar esto es dejar que curl ignore por completo la verificación de la cadena de certificados:

$ sudo curl -k https://example.com