Ich bin kürzlich auf ein verwandtes Problem in cert_exists() gestoßen, während ich die Wiederverwendung von Let’s Encrypt-Zertifikaten untersuchte.
In meinem Fall waren die Zertifikatsdateien und beide RSA-/ECDSA-Verzeichnisse vorhanden, aber der aktuelle Check lieferte weiterhin false zurück, da openssl x509 -in ca.cer nur das erste Zertifikat aus dem Issuer-Bundle behält.
Die Verwendung von:
openssl verify -untrusted ca.cer fullchain.cer
hat die Verifizierung behoben. Ich habe es auch mit echten RSA- und ECDSA-Zertifikaten getestet und einen Rebuild abgeschlossen, der beide vorhandenen Zertifikate wiederverwendet hat, ohne eine erzwungene Neuerteilung auszulösen.
Dies ist möglicherweise nicht dieselbe Ursache wie das fehlende _ecc-Verzeichnis, das in diesem Thema beschrieben wird, aber es betrifft denselben cert_exists()-Pfad. Ich verlinke es daher hier, falls es für jemanden nützlich ist, der ähnliche Symptome feststellt.
Report: Let's Encrypt cert_exists() truncates the CA chain, causing forced reissuance and rate-limit failures
PR: FIX: preserve the Let's Encrypt issuer chain in cert_exists - Pull Request #1136 - discourse/discourse_docker - GitHub