ruby on rails - OmniAuth y Facebook: verificación de certificado fallida

ruby-on-rails railscasts

Question

Esta pregunta ya tiene una respuesta aquí:

• SSL_connect returned = 1 errno = 0 state = SSLv3 read server certificate B: certificate verify failed 37 answers

Seguí Railscast # 235 para intentar configurar una mínima autenticación de Facebook.

Primero configuré una autenticación de Twitter, como lo hizo Ryan mismo. Eso funcionó a la perfección.

Luego pasé a agregar un inicio de sesión de Facebook. Sin embargo, después de autorizar la aplicación, la redirección a /auth/facebook/callback falla con:

SSL_connect returned=1 errno=0 state=SSLv3 read server certificate B: certificate verify failed

Estoy trabajando en localhost. No configuré ningún SSL dentro de la aplicación. ¿Qué estoy haciendo mal?

Answer 1

El hecho de que las instrucciones fueran un poco diferentes para lo que funcionó para mí, pensé que agregué mis 2 centavos:

Estoy en OS X Lion y uso macports y rvm

Instalé curl-ca-bundle:

sudo port install curl-ca-bundle

Luego ajusté mi configuración de omniauth para que sea esto:

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :google_oauth2, APP_CONFIG[''CONSUMER_KEY''], APP_CONFIG[''CONSUMER_SECRET''],
           :scope => ''https://www.google.com/m8/feeds https://www.googleapis.com/auth/userinfo.profile'',
           :ssl => {:ca_path => "/share/curl/curl-ca-bundle.crt"}
end

Answer 2

El verdadero problema es que Faraday (que Omniauth / Oauth usa para sus llamadas HTTP) no estaba configurando la variable ca_path para OpenSSL. Al menos en Ubuntu, la mayoría de los certificadores de raíz se almacenan en "/ etc / ssl / certs". Como Faraday no está configurando esta variable (y actualmente no tiene un método para hacerlo) , OpenSSL no estaba buscando el certificado raíz para el certificado SSL de Facebook.

He enviado una solicitud de extracción a Faraday que agregará soporte para esta variable y es de esperar que aprovechen este cambio pronto. Hasta entonces, puedes hacer un parche en el tablero de Faraday para que se vea así o usar mi tenedor de Faraday . Después de eso, debe especificar la versión 0.3.0 de la gema OAuth2 en su Gemspec que admite el paso de las opciones SSL a Faraday. Todo lo que necesita hacer ahora es actualizar a Faraday 0.6.1, que admite el paso de la variable ca_path y actualizar a OmniAuth 0.2.2, que tiene las dependencias adecuadas para OAuth2. Entonces podrá corregir este problema de manera adecuada agregando lo siguiente a su inicializador Omniauth:

Rails.application.config.middleware.use OmniAuth::Builder do
    provider :facebook, FACEBOOK_KEY, FACEBOOK_SECRET, {:client_options => {:ssl => {:ca_path => "/etc/ssl/certs"}}}
end

Entonces, para recapitular:

1. Faraday debe actualizarse para admitir SSL ca_path. Instalar Faraday 0.6.1
2. Tu aplicación necesita usar OAuth2 versión 0.3.0. Es posible que tenga que bifurcar omniauth ya que actualmente tiene una dependencia de versión menor en el árbol 0.2.x. Actualizar a OmniAuth 0.2.2
3. Modifique su inicializador de proveedor para que apunte a la ruta del certificado de su sistema ("/ etc / ssl / certs" en Ubuntu et al)

Esperemos que los próximos lanzamientos de Faraday y Omniauth incorporen esta solución.

Gracias a KirylP más arriba por ponerme en el camino correcto.

Answer 3

En Ubuntu, todo lo que tuve que hacer fue actualizar /environments/development.rb a:

Rails.application.config.middleware.use OmniAuth::Builder do
    provider :facebook, FACEBOOK_KEY, FACEBOOK_SECRET, {:client_options => {:ssl => {:ca_path => "/etc/ssl/certs"}}}
end

y entonces:

cd /etc/ssl/certs
sudo wget http://curl.haxx.se/ca/cacert.pem

Wola!

Answer 4

Encontré un error similar al usar RVM en Mountain Lion. Parece que Ruby no puede encontrar el certificado de CA que necesita para autorizar la conexión SSL. Necesitas instalar uno. Esta solución hizo el truco:

http://fredwu.me/post/28834446907/fix-openssl-error-on-mountain-lion-and-rvm

(Aunque no podía cargar esa página en mi navegador, tenía que encontrarla en la memoria caché de Google).

Aquí está la respuesta corta:

curl http://curl.haxx.se/ca/cacert.pem -o ~/.rvm/usr/ssl/cert.pem

Y tu estas listo.

Answer 5

Estaba teniendo este problema y traté de usar el argumento: ca_path sin éxito. Después de mirar a través de Github por un tiempo, encontré una sugerencia que mencionaba usar: ca_file y apuntaba directamente a la certificación.

Rails.application.config.middleware.use OmniAuth::Builder do
  provider :facebook, ''secret_key'', ''secret_key'',
   :client_options => {:ssl => {:ca_file => ''/etc/pki/tls/certs/ca-bundle.crt''}}}
end

Si necesita obtener la ruta a los archivos de certificación de su sistema (y su uso de linux) simplemente escriba desde la terminal. Esto le dará un montón de información sobre su configuración de SSL, incluida la ruta (consulte OPENSSLDIR). Deberá agregar certs / ca-bundle.crt a la ruta proporcionada.

open-ssl version -a

Answer 6

Esto es lo que hice que ayudó si tienes un problema específico con Leopard.

Mi certificado era viejo y necesitaba ser actualizado. Descargué esto:

http://curl.haxx.se/ca/cacert.pem

Luego reemplacé mi certificado que se encontró aquí en Leopard:

/usr/share/curl/curl-ca-bundle.crt

Recarga lo que tengas que esté accediendo a él y ¡deberías estar listo!

Answer 7

Esto parece ser un problema 1.9.x. Revertir a 1.8.7 solucionó el problema.

Answer 8

Estoy en Ubuntu 10.10 (Maverick) ... luché unas 6 horas antes de que funcionara, compartiendo mi experiencia

1. no intenté el parche de mono
2. intenté {: client_options => {: ssl => {: ca_path => "/ etc / ssl / certs"}} pero aún no funcionó
3. intentado ruby ​​1.8.7 todavía no funcionó
4. intenté diferentes versiones de omniauth y faraday, todavía no tuve suerte.

Lo único que lo hizo funcionar fue seguir (gracias Alex)

if Rails.env.development? 
  OpenSSL::SSL::VERIFY_PEER = OpenSSL::SSL::VERIFY_NONE 
end

Answer 9

Estoy usando Faraday 0.6.1 y OAUTH2 (solo, no envuelto por nada). Esto fue suficiente para resolver el problema para mí (en Gentoo, debería funcionar en Ubunto)

Convertir esto

  client = OAuth2::Client.new(FACEBOOK_API_KEY, FACEBOOK_API_SECRET, :site => FACEBOOK_API_SITE)

Dentro de esto

  client = OAuth2::Client.new(FACEBOOK_API_KEY, FACEBOOK_API_SECRET, :site => FACEBOOK_API_SITE, :ssl => {:ca_path => ''/etc/ssl/certs'' })

Answer 10

Finalmente encontré una solución para Mountain Lion. Ver: http://coderwall.com/p/f4hyqw

rvm pkg install openssl
rvm reinstall 1.9.3 --with-openssl-dir=$rvm_path/usr

Answer 11

Lo resolví con CA bundle desde: http://certifie.com/ca-bundle/

Y en mi inicializador de Devise:

:client_options => { :ssl => { :ca_file => "#{Rails.root}/config/ca-bundle.crt" } } }

Answer 12

Logré pasar por la verificación de certificado SSL como debe ser. Mi proyecto usa 37signals ID para la integración de Basecamp (Ruby 1.9.2-p130, Rails 3.0.4).

RAILS_ROOT / config / initializers / omniauth.rb :

require ''omniauth/oauth''

Rails.application.config.middleware.use OmniAuth::Strategies::ThirtySevenSignals,
    ''CLIENT_ID'', ''CLIENT_SECRET'', {client_options: {ssl: {ca_file: Rails.root.join(''gd_bundle.crt'').to_s}}}

module OAuth2
  class Client
    def initialize(client_id, client_secret, opts = {})
      adapter = opts.delete(:adapter)
      self.id = client_id
      self.secret = client_secret
      self.site = opts.delete(:site) if opts[:site]
      self.options = opts
      self.connection = Faraday::Connection.new(site, {ssl: opts.delete(:ssl)})
      self.json = opts.delete(:parse_json)        # ^ my code starts here

      if adapter && adapter != :test
        connection.build { |b| b.adapter(adapter) }
      end
    end
  end
end

Donde ''CLIENT_ID'', ''CLIENT_SECRET'' puede obtener 37signals.com y los certificados agrupan el archivo gd_bundle.crt de GoDaddy porque 37signals están usando su CA.

Answer 13

Mi problema se resolvió asegurándome de que openSSL usaba el directorio correcto de certificados:

Para mi sistema (ubuntu64) esto fue: ENV [''SSL_CERT_DIR''] = ''/ usr / share / ca-certificates /''

Esto estaba usando jruby-openssl con JRuby 1.6.0

Acabo de agregar esta configuración a development.rb

Answer 14

Parece que Omniauth ahora usa una versión más nueva de Faraday, lo que explica por qué el parche de mono anterior no funcionaba para mí. Estoy de acuerdo en que debe haber una manera mejor, pero para cualquier otra persona que solo necesite que funcione para probar, aquí hay una versión actualizada:

(crea un archivo en tu directorio de inicializadores con el siguiente código)

require ''faraday''
module Faraday
class Adapter
 class NetHttp < Faraday::Adapter
  def call(env)
  super
  url = env[:url]
  req = env[:request]

  http = net_http_class(env).new(url.host, url.inferred_port)

  if http.use_ssl = (url.scheme == ''https'' && env[:ssl])
    ssl = env[:ssl]
    http.verify_mode = OpenSSL::SSL::VERIFY_NONE
    http.cert        = ssl[:client_cert] if ssl[:client_cert]
    http.key         = ssl[:client_key]  if ssl[:client_key]
    http.ca_file     = ssl[:ca_file]     if ssl[:ca_file]
    http.cert_store  = ssl[:cert_store]  if ssl[:cert_store]
  end

  http.read_timeout = http.open_timeout = req[:timeout] if req[:timeout]
  http.open_timeout = req[:open_timeout]                if req[:open_timeout]

  if :get != env[:method]
    http_request = Net::HTTPGenericRequest.new /
      env[:method].to_s.upcase,    # request method
      !!env[:body],                # is there data
      true,                        # does net/http love you, true or false?
      url.request_uri,             # request uri path
      env[:request_headers]        # request headers

    if env[:body].respond_to?(:read)
      http_request.body_stream = env[:body]
      env[:body] = nil
    end
  end

  begin
    http_response = if :get == env[:method]
      # prefer `get` to `request` because the former handles gzip (ruby 1.9)
      http.get url.request_uri, env[:request_headers]
    else
      http.request http_request, env[:body]
    end
  rescue Errno::ECONNREFUSED
    raise Error::ConnectionFailed, $!
  end

  http_response.each_header do |key, value|
    response_headers(env)[key] = value
  end
  env.update :status => http_response.code.to_i, :body => http_response.body

  @app.call env
end
end
end
end

Answer 15

Sé que esto suena trivial, pero asegúrate de estar usando el protocolo correcto. Seguí recibiendo este error y luego me di cuenta de que estaba tratando de conectarme a través de http. 1.5 horas perdidas porque soy un idiota.

Answer 16

Si se está implementando en Heroku, quiere señalar la ubicación del archivo específico. Esto funciona para mí (en config / initializers / omniauth.rb):

Rails.application.config.middleware.use OmniAuth::Builder do
  # This cert location is only for Heroku
  provider :facebook, APP_ID, APP_SECRET, {:client_options => {:ssl => {:ca_file => "/usr/lib/ssl/certs/ca-certificates.crt"}}}
end

Answer 17

todas las soluciones no funcionaron para mí, entonces he encontrado esto

http://railsapps.github.io/openssl-certificate-verify-failed.html

rvm osx-ssl-certs update all

osx 10.8 ruby ​​2.0.0 vía rvm

Answer 18

Editar: compruebe la respuesta a continuación, ya que es más relevante

Esto funcionó para mí (solución cortesía de https://github.com/jspooner ):

Crea un archivo en el directorio de tu inicializador con el siguiente parche de mono:

require ''faraday''
module Faraday
class Adapter
 class NetHttp < Faraday::Adapter
  def call(env)
    super

    is_ssl = env[:url].scheme == ''https''

    http = net_http_class(env).new(env[:url].host, env[:url].port || (is_ssl ? 443 : 80))
    if http.use_ssl = is_ssl
      ssl = env[:ssl]
      if ssl[:verify] == false
        http.verify_mode = OpenSSL::SSL::VERIFY_NONE
      else
        http.verify_mode = OpenSSL::SSL::VERIFY_NONE # <= PATCH or HACK ssl[:verify]
      end
      http.cert    = ssl[:client_cert] if ssl[:client_cert]
      http.key     = ssl[:client_key]  if ssl[:client_key]
      http.ca_file = ssl[:ca_file]     if ssl[:ca_file]
    end
    req = env[:request]
    http.read_timeout = net.open_timeout = req[:timeout] if req[:timeout]
    http.open_timeout = req[:open_timeout]               if req[:open_timeout]

    full_path = full_path_for(env[:url].path, env[:url].query, env[:url].fragment)
    http_req  = Net::HTTPGenericRequest.new(
      env[:method].to_s.upcase,    # request method
      (env[:body] ? true : false), # is there data
      true,                        # does net/http love you, true or false?
      full_path,                   # request uri path
    env[:request_headers])       # request headers

    if env[:body].respond_to?(:read)
      http_req.body_stream = env[:body]
      env[:body] = nil
    end

    http_resp = http.request http_req, env[:body]

    resp_headers = {}
    http_resp.each_header do |key, value|
      resp_headers[key] = value
    end

    env.update /
      :status           => http_resp.code.to_i,
      :response_headers => resp_headers,
      :body             => http_resp.body

    @app.call env
  rescue Errno::ECONNREFUSED
    raise Error::ConnectionFailed.new(Errno::ECONNREFUSED)
  end

  def net_http_class(env)
    if proxy = env[:request][:proxy]
      Net::HTTP::Proxy(proxy[:uri].host, proxy[:uri].port, proxy[:user], proxy[:password])
    else
      Net::HTTP
    end
  end
 end
end
end