İmza doğrulama hatası, sertifikadaki dijital imzanın, sertifikayı imzaladığı iddia edilen CA'nın açık anahtarıyla doğrulanamaması demektir. Eksik zincir hatalarından farklı olarak burada zincir bulunur ama imza matematiksel olarak tutmaz. OpenSSL çıktısında certificate signature failure ifadesini görebilirsiniz.
Olası nedenler
- Sertifika ile eşleşmeyen yanlış bir ara sertifika kullanılıyor (örneğin CA ara sertifikayı yenilemiş).
- PEM dosyası bozulmuş: kopyalarken satır kaybı, fazladan boşluk veya karakter kodlaması değişikliği.
- Sertifika dosyası elle düzenlenmiş veya dönüştürme sırasında hasar görmüş.
- Çok eski, artık güvenilmeyen bir imza algoritması (örneğin SHA-1) kullanılmış olabilir.
Teşhis
Sertifikanın hangi anahtar kimliğiyle imzalandığını, ara sertifikanın anahtar kimliğiyle karşılaştırın:
openssl x509 -in alanadi.crt -noout -text | grep -A1 "Authority Key Identifier"
openssl x509 -in ara.crt -noout -text | grep -A1 "Subject Key Identifier"İki değer aynı olmalıdır. Ardından imza algoritmasına ve zincire bakın:
openssl x509 -in alanadi.crt -noout -text | grep "Signature Algorithm"
openssl verify -CAfile kok.crt -untrusted ara.crt alanadi.crtÇözüm adımları
- CA'nın size verdiği güncel ara sertifika paketini yeniden indirin; eski kopyaları kullanmayın.
- Dosyayı düz metin editöründe açıp
-----BEGIN CERTIFICATE-----ve-----END CERTIFICATE-----satırlarının bozulmadığından emin olun. - Sorun sertifikanın kendisindeyse sertifikayı CA panelinden yeniden indirin veya yeniden yayınlatın (reissue).
- Değişiklikten sonra servisi yeniden yükleyin ve zinciri tekrar test edin.
Önleme
Sertifikaları e-postadan kopyala-yapıştır yerine dosya olarak taşıyın. Ara sertifika değişikliklerini CA duyurularından takip edin. Sonucu SSL kontrol aracıyla doğrulayabilir, tekrarlayan sorunlarda Türkçe teknik desteğe ulaşabilirsiniz.