Não foi possível resolver "não é possível obter o certificado do emissor local" usando o git no Windows com certificado autoassinado

Estou usando o Git no Windows. Eu instalei o pacote msysGit. Meu repositório de teste possui um certificado autoassinado no servidor. Eu posso acessar e usar o repositório usando HTTP sem problemas. Mover para HTTPS fornece o erro:

Problema no certificado SSL: não é possível obter o certificado do emissor local.

Eu tenho o certificado autoassinado instalado nas Autoridades de Certificação Raiz Confiáveis ​​da minha máquina cliente com Windows 7. Posso navegar até a URL do repositório HTTPS no Internet Explorer sem mensagens de erro.

Esta postagem no blog de Philip Kelley explicou que o cURL não usa o armazenamento de certificados da máquina cliente. Segui o conselho da postagem no blog para criar uma cópia privada curl-ca-bundle.crte configurar o Git para usá-lo. Tenho certeza que o Git está usando minha cópia. Se eu renomear a cópia; O Git reclama que o arquivo está faltando.

Colei no meu certificado, conforme mencionado na postagem do blog, ainda recebo a mensagem "Impossível obter o certificado do emissor local".

Eu verifiquei que o Git ainda estava funcionando clonando um repositório do GitHub via HTTPS.

A única coisa que vejo diferente da postagem do blog é que meu certificado é a raiz - não há corrente para alcançá-lo. Meu certificado veio originalmente de clicar no link IIS8 IIS Manager 'Criar certificado autoassinado'. Talvez isso faça com que um certificado seja diferente de alguma forma do que o cURL espera.

Como faço para o Git / cURL aceitar o certificado autoassinado?

Abra o Git Bash e execute o comando se desejar desativar completamente a verificação SSL.

git config --global http.sslVerify false

Nota: Esta solução pode abrir você para ataques como ataques man-in-the-middle . Portanto, ative a verificação novamente o mais rápido possível:

git config --global http.sslVerify true

O problema é que o git, por padrão, usa o back-end de criptografia "Linux".

A partir do Git para Windows 2.14, agora você pode configurar o Git para usar o SChannel, a camada de rede interna do Windows como o back-end de criptografia. Isso significa que você usará o mecanismo de armazenamento de certificados do Windows e não precisará configurar explicitamente o mecanismo de armazenamento da CA de ondulação: https://msdn.microsoft.com/en-us/library/windows/desktop/aa380123(v= vs.85) .aspx

Basta executar:

git config --global http.sslbackend schannel

Isso deve ajudar.

O uso do schannel agora é a configuração padrão ao instalar o git para Windows, também é recomendável não efetuar o check-out dos repositórios pelo SSH, se possível, pois o https é mais fácil de configurar e menos provável de ser bloqueado por um firewall, significa menos chances de falha.

Eu tive esse problema também. No meu caso, eu estava tentando obter um gancho Git pós-recebimento para atualizar uma cópia de trabalho em um servidor a cada push. Tentei seguir as instruções no blog ao qual você vinculou. Também não funcionou para mim e substituir as configurações por usuário também não pareceu funcionar.

O que acabei fazendo foi desabilitar a verificação SSL (como o artigo menciona) para o Git como um todo. Não é a solução perfeita, mas funcionará até que eu possa descobrir uma melhor.

Editei o arquivo de texto de configuração do Git (com meu aplicativo neutro de final de linha favorito como o Notepad ++) localizado em:

C: \ Arquivos de programas (x86) \ Git \ etc \ gitconfig

No bloco [http], adicionei uma opção para desativar o sslVerify. Ficou assim quando eu terminei:

[http]
    sslVerify = false
    sslCAinfo = /bin/curl-ca-bundle.crt

Isso fez o truque.

NOTA:

• Isso desativa a verificação SSL e não é recomendada como uma solução de longo prazo.

• Você pode desativar esse repositório por repositório, o que ainda não é ótimo, mas localiza a configuração.

• Com o advento do LetsEncrypt.org, agora é bastante simples, automatizado e gratuito configurar o SSL como uma alternativa aos certificados autoassinados e nega a necessidade de desativar o sslVerify.

kiddailey Eu acho que estava bem próximo, no entanto, eu não desativaria a verificação ssl, mas apenas forneceria o certificado local:

No arquivo de configuração do Git

[http]
    sslCAinfo = /bin/curl-ca-bundle.crt

Ou via linha de comando:

git config --global http.sslCAinfo /bin/curl-ca-bundle.crt

Eu também enfrentei esse problema. E, finalmente, foi resolvido com a orientação deste blog do MSDN .

Atualizar

Na verdade, você precisa adicionar o certificado no arquivo de certificados do git curl-ca-bundel.cert que reside no diretório Git \ bin.

Passos

1. Abra sua página do github no navegador e clique no ícone de cadeado na barra de endereços.
2. No pequeno pop-up aberto, navegue até o link 'ver certificado', ele abrirá uma janela pop-up.
3. Na qual navegue até a guia Certificados (3º no meu caso). Selecione o nó superior que é o certificado raiz. E pressione o botão copiar certificado na parte inferior e salve o arquivo.
4. No explorador de arquivos, navegue no diretório Git \ bin e abra curl-ca-bundle.crt no editor de texto.
5. Abra o arquivo de certificado exportado (na etapa 3) também no editor de texto.
6. Copie todo o conteúdo do certificado exportado para o final de curl-ca-bundle.crt e salve.

Por fim, verifique o status. Observe que o arquivo curl-ca-bundle.crt de backup antes de editar permanece no lado seguro.

A resposta para esta pergunta O uso do makecert for Development SSL corrigiu isso para mim.

Não sei por que, mas o certificado criado pelo simples link 'Criar certificado autoassinado' no Gerenciador do IIS não funciona. Eu segui a abordagem na questão vinculada de criação e instalação de um CA Root autoassinado; usando-o para emitir um certificado de autenticação de servidor para o meu servidor. Eu instalei os dois no IIS.

Isso deixa minha situação igual à postagem de blog mencionada na pergunta original. Depois que o certificado raiz foi copiado / colado no curl-ca-bundle.crt, a combinação git / curl foi satisfeita.

Para evitar desabilitar a verificação ssl completamente ou duplicar / invadir o arquivo de certificado CA empacotado usado pelo git, você pode exportar a cadeia de certificados do host para um arquivo e fazer com que o git a use:

git config --global http.https://the.host.com/.sslCAInfo c:/users/me/the.host.com.cer

Se isso não funcionar, você pode desativar a verificação SSL apenas para o host:

git config --global http.https://the.host.com/.sslVerify false

Nota: Submetido a possíveis ataques man in the middle quando a verificação ssl está desativada.

Acabei de ter o mesmo problema, mas usando o sourcetree no Windows As mesmas etapas para o GIT normal no Windows também. Seguindo as etapas a seguir, consegui resolver esse problema.

1. Obter a árvore de certificados do servidor Isso pode ser feito usando o chrome. Navegue até o endereço do servidor. Clique no ícone do cadeado e veja os certificados. Exporte toda a cadeia de certificados no formato de arquivos codificados em base64 (PEM).
2. Adicione os certificados à cadeia confiável do seu arquivo de configuração confiável do GIT Execute "git config --list". encontre a configuração "http.sslcainfo" que mostra onde o arquivo confiável de certificado está localizado. Copie todos os certificados no arquivo de cadeia confiável, incluindo "- -BEGIN- -" e "- -END- -".
3. Certifique-se de adicionar toda a cadeia de certificados ao arquivo de certificados

Isso deve resolver seu problema com os certificados autoassinados e usando o GIT.

Tentei usar a configuração "http.sslcapath", mas isso não funcionou. Além disso, se eu não incluísse toda a cadeia no arquivo de certificados, isso também falharia. Se alguém tiver dicas sobre isso, entre em contato, pois o procedimento acima deve ser repetido para uma nova instalação.

Se este for o GIT do sistema, você poderá usar as opções na guia FERRAMENTAS -> Opções GIt para usar o GIT do sistema e isso resolverá o problema no código fonte também.

No caso dos Repositórios do github (ou qualquer documento não autoassinado) , a escolha abaixo ao instalar o Git-on-windows, resolveu o problema.

Eu já tive esse problema antes e resolva-o usando a seguinte configuração.

[http "https://your.domain"] sslCAInfo=/path/to/your/domain/priviate-certificate

Desde o git 2.3.1, você pode colocar https://your.domainapós http para indicar que o certificado a seguir é apenas para ele.

1. Faça o download do certificado neste link: https://github.com/bagder/ca-bundle
2. Adicione C:\Program Files\Git\bin eC:\Program Files\Git\mingw64\bin

Em seguida, tente algo como: git clone https://github.com/heroku/node-js-getting-started.git

Uma coisa que me atrapalhou foi o formato do caminho (no meu PC com Windows). Eu originalmente tinha isso:

git config --global http.sslCAInfo C:\certs\cacert.pem

Mas isso falhou com o erro "não é possível obter o certificado do emissor local".

O que finalmente funcionou foi o seguinte:

git config --global http.sslCAInfo "C:\\certs\\cacert.pem"

No meu caso, como eu instalei o ConEmu Terminal para Windows 7, ele cria o ca-bundledurante a instalação em C:\Program Files\Git\mingw64\ssl\certs.

Portanto, eu tenho que executar os seguintes comandos no terminal para fazê-lo funcionar:

$ git config --global http.sslbackend schannel
$ git config --global http.sslcainfo /mingw64/ssl/certs/ca-bundle.crt

Portanto, my C:\Program Files\Git\etc\gitconfigcontém o seguinte:

[http]
    sslBackend = schannel
    sslCAinfo = /mingw64/ssl/certs/ca-bundle.crt

Além disso, escolhi a mesma opção mencionada aqui ao instalar o Git.

Espero que ajude!

Para corrigir o problema específico do certificado SSL do erro : não é possível obter o certificado do emissor local no git

Eu tive o mesmo problema com os certificados Let's Encrypt.

Um site com https é necessário:

SSLEngine On
SSLCertificateFile /etc/letsencrypt/live/example.com/cert.pem
SSLCertificateKeyFile /etc/letsencrypt/live/example.com/privkey.pem
Include /etc/letsencrypt/options-ssl-apache.conf

mas git pull diz:

fatal: unable to access 'https://example.com/git/demo.git/': SSL certificate problem: unable to get local issuer certificate

Para corrigi-lo, também precisamos adicionar:

SSLCertificateChainFile /etc/letsencrypt/live/example.com/chain.pem

Use este comando antes para executar a atualização / instalação do compositor:

git config --global http.sslverify false