Alpine 3.7 で curl 'https://pecl.php.net/' をした時に curl: (60) SSL certificate problem とならないようにする

Question

実現したいこと

Docker 上の Alpine 3.7 を下記コマンドで起動した後に

docker run --rm -it alpine:3.7 /bin/ash

Alpine 内で下記コマンドを実行し

apk add curl
curl -v 'https://pecl.php.net/'

下記のエラーが表示されずに HTTPレスポンス内容を表示されるようにしたい。

curl: (60) SSL certificate problem: certificate has expired
More details here: https://curl.haxx.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.

前提

Alpine 3.7 であることが必須です。例えば Alpine 3.15 ではこの問題は発生しませんが、今回の質問の対象外です。

また、curl コマンドに証明書を無視するオプションを追加したり、証明書のパスを引数として与えることも、今回の質問の対象外です。

docker run --rm -it alpine:3.7 /bin/ash

を行った後、Docker コンテナ内で何かのコマンドを実行し、

curl -v 'https://pecl.php.net/'

これがエラーにならないことが目標になります。

発生している問題・エラーメッセージ

% docker run --rm -it alpine:3.7 /bin/ash                                                               (git)-[master]
/ # apk add curl
fetch http://dl-cdn.alpinelinux.org/alpine/v3.7/main/aarch64/APKINDEX.tar.gz
fetch http://dl-cdn.alpinelinux.org/alpine/v3.7/community/aarch64/APKINDEX.tar.gz
(1/4) Installing ca-certificates (20190108-r0)
(2/4) Installing libssh2 (1.9.0-r1)
(3/4) Installing libcurl (7.61.1-r3)
(4/4) Installing curl (7.61.1-r3)
Executing busybox-1.27.2-r11.trigger
Executing ca-certificates-20190108-r0.trigger
OK: 6 MiB in 17 packages
/ # curl -v 'https://pecl.php.net/'
*   Trying 104.236.228.160...
* TCP_NODELAY set
* Connected to pecl.php.net (104.236.228.160) port 443 (#0)
* ALPN, offering http/1.1
* successfully set certificate verify locations:
*   CAfile: /etc/ssl/certs/ca-certificates.crt
  CApath: none
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (OUT), TLS alert, certificate expired (557):
* SSL certificate problem: certificate has expired
* Closing connection 0
curl: (60) SSL certificate problem: certificate has expired
More details here: https://curl.haxx.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.
/ #

試したこと

• 一个因CA根证书过期引起的故障
• macos - Why I get SSL errors while installing packages on Docker(on mac)? - Stack Overflow
• docker - old php container says : curl: (60) SSL certificate problem: certificate has expired - Stack Overflow

Answer 1

curl: (60) SSL certificate problem: certificate has expired

これを日本語に訳すと

curl: (60) SSL証明書の問題: 証明書は期限切れです

となります。

エラーメッセージの意味は「証明書が期限切れになっている」ということですが、pecl.php.netのサーバ証明書を確認すると期限切れになっていません。

ですので、Alpine Linuxにインストールされた信頼しているルート証明書が古いのだと考えられます。つまり、pecl.php.netのサーバ証明書の検証に使えるルート証明書がインストールされていません。

Alpine Linuxであれば、信頼しているルート証明書はca-certificatesというパッケージで提供されているはずです。しかし、Alpine 3.7は2019年03月06日を以てend of lifeを迎えていますので、アップデートされたca-certificatesパッケージは入手できません。

対応としては、次のような選択肢があると思います。

1. 必要なルート証明書を自分でインストールする。
2. curl コマンドに何らかのオプション (証明書を無視する等) を追加する。
3. EOLになっていないバージョンのAlpine Linuxを使う。

追記

ご質問の意図は、上記1.の方法を知りたいということだったそうです。以下説明します。

必要なルート証明書 (及び中間認証局証明書) を特定して入手する方法については、pecl.php.netのサーバ証明書を調べることで調べることができます。しかし、この方法を説明しだすととても長くなってしまうので、調べる方法がわからないときは別の質問で聞いてください。

さて、必要な証明書を入手できたら、Dockerfileに次のものを記述する必要があるでしょう。

RUN apk update && apk add ca-certificates
COPY 証明書.crt  /usr/local/share/ca-certificates/
RUN update-ca-certificates

なお、ca-certificatesがインストールされておらず、apkコマンドが失敗するようなら、ca-certificatesバンドルをなんらかの方法で入手してインストールしてください。
また、証明書ファイルの拡張子は.crtにする必要があります。

処理の内容について詳しくは、update-ca-certificatesコマンドのマニュアルページを参照してください。

Comments

[ytyng]

回答ありがとうございます。

はい、今回の質問は、1の具体的な手順を教えてほしいという意図になります。

2,3 は、前提条件に書いた通り、今回の質問の範囲外となります。

[ikedas]

であれば最初から「必要なルート証明書を自分でインストールする方法を教えてほしい」と質問に書いてくださればよかったのでは。

[ytyng]

ありがとうございます! 情報を参考に調査します。

[ikedas]

ほかにこの質問で聞きたいことありますか。

とりあえずこれ以上聞くことがないのなら、質問を解決済みにしておいてください。

[ytyng]

追加の質問はございません。

申し訳ありませんが、まだ調査中のためこの問題は解決していません。

前提条件に書いてある
```
curl -v 'https://pecl.php.net/'
```
これがエラーにならない具体的な方法が達成されていないためです。