доверять сертификату сервера с lftp

При подключении к серверу с помощью lftp у меня возникла следующая проблема:

Проверка сертификата: Не доверяется: не найден поставщик (AA:AA:AA:[...]:AA:AA)

Это как минимум указывает на то, что проверка сертификата не удалась. Я хотел бы добавить этот сертификат в белый список. Очевидно, отключение проверки сертификатов не является вариантом из-за соображений безопасности.

Вот что я уже пробовал:

• Следуя этому руководству, чтобы получить сертификаты с сервера и использовать их с set ssl:ca-file. Согласно этому руководству, у меня есть три сертификата. Я попробовал их все, затем объединил их вместе, что ничего не изменило. Также пробовал с ssl:cert-file.
• Используя тот же метод, что и выше с openssl s_client -connect my.server.tld:21 -starttls ftp, который выдает только один сертификат
• Установив ssl:ca-file на хранилище CA системы
• Использование gnutls-cli работает отлично с опцией -s, так же как и вышеупомянутые команды openssl s_client.

Сертификат, похоже, подписан действительной цепочкой доверия, насколько это сообщают команды.

Filezilla работает отлично, но выводит следующее предупреждение, которое может быть связано:

Сервер отправил несортированную цепочку сертификатов, нарушающую спецификации TLS

Я не контролирую сервер, так как не хостирую его сам, но приветствование идентифицирует себя как Pure-FTPd.

Другие клиенты, которые не работали (недостаток поддержки ftps или для конкретного сервера): ftp, ncftp, dolphin (KIO), curlftpfs, tnftp, firefox

Единственное решение через год остается отключение ssl:verify-certificate для конкретных отпечатков сертификатов.

set ssl:verify-certificate/{fingerprint1} no
set ssl:verify-certificate/{fingerprint2} no

Смотрите закрытую проблему lftp 214 — https://github.com/lavv17/lftp/issues/214#issuecomment-197237482

Что сработало для меня шаг за шагом с lftp:

1. Получить сертификат хоста с помощью openssl s_client -connect <ftp_hostname>:21 -starttls ftp, в начале результата я получил что-то вроде -----BEGIN CERTIFICATE-----
MIIEQzCCAyu.....XjMO
-----END CERTIFICATE-----
2. Скопировать этот -----BEGIN CERTIFICATE-----
MIIEQzCCAyu.....XjMO
-----END CERTIFICATE----- в /etc/ssl/certs/ca-certificates.crt
3. В конфигурации lftp указать этот файл сертификата, добавив в /etc/lftp.conf для системы set ssl:ca-file "/etc/ssl/certs/ca-certificates.crt"
4. А затем выполните вашу синхронизацию или что-то еще с помощью lftp, в моем случае это lftp -u "${FTP_USER},${FTP_PWD}" ${FTP_HOST} -e "set net:timeout 10;mirror ${EXCLUDES} -R ${LOCAL_SOURCE_PATH} ${REMOTE_DEST_PATH} ; quit"

Решением для меня было получить все сертификаты из команды ниже и добавить их в файл сертификатов.

openssl s_client -connect hg-gym.de:21 -starttls ftp -showcerts

На моей системе (Linux Mint), чтобы выполнить клиент lftp с проверкой SSL сертификата сервера, мне пришлось выполнить следующие шаги:

1. Скачать сертификат с FTP сервера с помощью следующей команды:

openssl s_client -connect x.x.x.x:21 -starttls ftp

где x.x.x.x – это IP-адрес FTP-сервера. Ответ на запрос содержит много информации. Меня интересует только часть ответа, содержащаяся между 2 строками BEGIN CERTIFICATE и END CERTIFICATE:

-----BEGIN CERTIFICATE-----
...
...
-----END CERTIFICATE-----

2. Я скопировал предыдущие 2 строки и все строки, ограниченные ними, в конец файла /etc/ssl/certs/ca-certificates.crt (отредактировать с помощью команды sudo). ca-certificates.crt – это файл, который содержит все CA сертификаты системы. Указанное выше местоположение относится к Linux Mint/Ubuntu и может варьироваться на разных системах.

3. Я добавил строку:

set ssl:check-hostname no

в файл /etc/lftp.conf (с помощью sudo); это предотвращает ошибку:

Серьезная ошибка: Проверка сертификата: общее имя сертификата не соответствует запрашиваемому имени хоста ‘<ftp-hostname>’

С предыдущими шагами lftp проверяет SSL сертификат. Например, чтобы загрузить файл на сервер FTP через FTP с использованием TLS, я могу использовать следующую команду:

> lftp
lftp :~> source lftps_config
lftp <username>@<ftp-ipaddress>:~> mput test.txt
64 байта передано                    
lftp <username>@<ftp-ipaddress>

где lftps_config – это следующий файл:

set ftp:ssl-protect-data true;
set ftp:ssl-auth TLS
open ftp://<ftp-ipaddress>:<ftp-port>
user <username> <password>