OpenSSl (unable to get local issuer certificate) mit gSOAP (Linux geht, Windows nicht)

[A. C. (michael1988)]

Hallo,
ich arbeite mit der Paypal api mit gsoap in C++.

Unter Linux funktioniert mein Programm, unter Windows bekomme ich immer 
"unable to get local issuer certificate" von meiner Apifunktion 
("paypalProxy.GetBalance") zurück.

Das Problem hängt damit zusammen, dass OpenSSL keine passende Liste der 
trusted CAs hat, weil wenn ich folgendes unter Windows und Linux laufen 
lasse:

openssl s_client -connect api-3t.sandbox.paypal.com:443 -showcerts | egrep -wi "G5|return"

- linux: 'Verify return code: 0 (ok)'.
- windows 'unable to get local issuer certificate'.

Mit zusätzlicher Option '-CAfile .\cabundle.crt' in windows:
'Verify return code: 0 (ok)',

dabei ist "cabundle.crt" das mozilla certificate bundle von: 
http://curl.haxx.se/docs/caextract.html

Ich muss openssl also klar machen, wo das crt File liegt, am besten 
Systemweit, weil unter Linux geht es ja auch.

Ich habe auch schon versucht, das .crt unter "C:\OpenSSL-Win32\certs" zu 
den anderen Zertifikaten von openSSL zu legen, leider ohne Erfolg

    int main(int argc, char* argv[])
    {
      std::string strSignature;
      PayPalAPISoapBindingProxy paypalProxy("https://api-3t.sandbox.paypal.com/2.0/");
      struct soap *soap = soap_new(); // create a new context
      soap_init(soap);
    
      paypalProxy.header = new SOAP_ENV__Header;
      paypalProxy.header->ns1__RequesterCredentials = new ns3__CustomSecurityHeaderType;
      paypalProxy.header->ns1__RequesterCredentials->eBayAuthToken = NULL;
      paypalProxy.header->ns1__RequesterCredentials->Credentials = new ns3__UserIdPasswordType;
      paypalProxy.header->ns1__RequesterCredentials->Credentials->AppId = NULL;
      paypalProxy.header->ns1__RequesterCredentials->Credentials->DevId = NULL;
      paypalProxy.header->ns1__RequesterCredentials->Credentials->AuthCert = NULL;
    
      paypalProxy.header->ns1__RequesterCredentials->Credentials->Username = soap_strdup(soap, "XXXXXX");
      paypalProxy.header->ns1__RequesterCredentials->Credentials->Password = soap_strdup(soap, "XXXXXX");
      strSignature = soap_strdup(soap, "XXXXXX"); // Sandbox env
      paypalProxy.header->ns1__RequesterCredentials->Credentials->Signature = &strSignature;
    
      _ns1__GetBalanceReq ns1__GetBalanceReq;
      ns1__GetBalanceResponseType ns1__GetBalanceResponse;
    
      ns1__GetBalanceReq.GetBalanceRequest = new ns1__GetBalanceRequestType; 
      ns1__GetBalanceReq.GetBalanceRequest->DetailLevel.push_back(ns3__DetailLevelCodeType__ReturnAll);
    
      soap_ssl_init();

      if (soap_ssl_client_context(soap, SOAP_SSL_DEFAULT, NULL, NULL, "cacert.crt", NULL, NULL))
      {
        soap_print_fault(soap, stderr);
        exit(1);
      }
      char buf[1024];
      int res = paypalProxy.GetBalance(&ns1__GetBalanceReq, ns1__GetBalanceResponse);
      if (res != SOAP_OK)
      {
        soap_sprint_fault(soap, buf, 1024);
      }
      else
      {
        std::ostringstream oss;
        oss << ns1__GetBalanceResponse.Balance << std::endl;
        std::cout << oss.str() << std::endl;
        oss << ns1__GetBalanceResponse.BalanceTimeStamp;
        std::cout << oss.str() << std::endl;
        //std::cout << ns1__GetBalanceResponse.BalanceHoldings. ->soap_serialize << std::endl;
        //std::cout << ns1__GetBalanceResponse.BalanceTimeStamp soap_serialize << std::endl;
      }

[A. C. (michael1988)]

Also keine Idee. Scheint kein spezielles gsoap Problem zu sein, sondern 
eher OpenSSL.

Wie gesagt, wenn ich das CAfile angebe, habe ich die gleiche Kette an 
trusted CAs wie unter Linux

[Hmmm (Gast)]

A. C. schrieb:
> Ich muss openssl also klar machen, wo das crt File liegt, am besten
> Systemweit, weil unter Linux geht es ja auch.

Im Source Code von OpenSSL solltest Du die Defaults beider Plattformen 
finden.

Ansonsten gibt es noch openssl.conf/openssl.cfg.

[Thomas Z. (thomas_z41)]

OpenSSL bietet dir die Möglichkeit ein CA Bundle anzugeben: 
https://www.openssl.org/docs/man1.1.0/ssl/SSL_load_client_CA_file.html

Guck mal ob du an den OpenSSL Context herankommst, dann kannst du das 
darüber lösen.

[bluppdidupp (Gast)]

Unter Windows kann man normalerweise per Umgebungsvariable OPENSSL_CONF 
den Pfad zur openssl-Konfigurationsdatei vorgeben.

[A. C. (michael1988)]

Das mit OPENSSL_CONF  habe ich schon versucht, das klappt leider nicht.

Das OPENSSLDIR wird auch nicht übernommen, wenn man es per 
UMgebungsvariable setzt. Wenn ich openssl version -d mache, kommt immer 
/etc/ssl. Erst nachdem ich OpenSSL selbst von Source gebaut habe und 
dabei openssl-dir angegeben hatte, hat sich der Wert geändert.

[Dr. Google (Gast)]

Die Microsoft Implementierung der SOAP-Schnittstelle weicht deutlich vom 
Standard ab. Namespaces werden anders behandelt und auch v.a. der 
"AnyType"für variant Datentypen.