Clientul de pe Debian 9 raportează în mod eronat certificatul expirat pentru domeniul emis de letsencrypt

Dacă încerc să accesez serverul nostru HTTPS care are un certificat emis de certbot de la Debian 9, primesc următoarea eroare:

 # curl -v https://hu.dbpedia.org/
 * Se încearcă 195.111.2.82...
 * TCP_NODELAY setat
 * Conectat la hu.dbpedia.org (195.111.2.82) portul 443 (#0)
 * ALPN, oferind h2
 * ALPN, oferind http/1.1
 * Selectare cifra: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
 * setați cu succes locațiile de verificare a certificatelor:
 * CAfile: /etc/ssl/certs/ca-certificates.crt
   CApath: /etc/ssl/certs
 * TLSv1.2 (OUT), antet TLS, stare certificat (22):
 * TLSv1.2 (OUT), strângere de mână TLS, salut client (1):
 * TLSv1.2 (IN), strângere de mână TLS, salut server (2):
 * TLSv1.2 (IN), strângere de mână TLS, Certificat (11):
 * TLSv1.2 (OUT), alertă TLS, salut server (2):
 * Problemă cu certificatul SSL: certificatul a expirat
 * Curl_http_done: numit prematur == 1
 * a oprit fluxul de pauză!
 * Închiderea conexiunii 0
 curl: (60) Problemă cu certificatul SSL: certificatul a expirat

Cu toate acestea, dacă încerc aceeași comandă de la debian 10, reușește.

Am încercat să copiez pur și simplu toate certificatele ca de pe o mașină virtuală debian 10 pe mașina virtuală debian 9 (în /usr/local/share/ca-certificates) cu rsync și apoi am rulat update-ca-certificate care se pare că a adăugat peste 400 de certificate. Din păcate, nu a ajutat. Nu este de mirare, deoarece se pare că există aceleași certificate atât pe Debian 9, cât și pe 10, aparent.

Intrebarea mea este: Cum pot accesa site-uri cu certificate certbot de pe mașini Debian 9 fără a ignora cu totul verificarea certificatului

Avertizare! Vă rugăm să planificați calea de actualizare a sistemului de operare. Sfaturile de mai jos ar trebui aplicate numai în situații de urgență pentru a repara rapid un sistem critic.

Soluția de mai jos funcționează pe Debian Jessy 8 și ar trebui să lipsească actualizările și pe Stretch 9. Tocmai l-am testat docker run -it debian:jessie bash, apt-get update && apt-get install curl.

Inainte de:

# curl -I https://hu.dbpedia.org
curl: (60) Problemă cu certificatul SSL: certificatul a expirat
Mai multe detalii aici: http://curl.haxx.se/docs/sslcerts.html
....

Mai întâi verificați dacă aveți prezent certificat DST Root CA X3:

# grep X3 /etc/ca-certificates.conf 
mozilla/DST_Root_CA_X3.crt

Versiunile Debian vechi au și ISRG Root X1 adecvat:

# grep X1 /etc/ca-certificates.conf 
mozilla/ISRG_Root_X1.crt

Acest lucru va dezactiva X3:

# sed -i '/^mozilla\/DST_Root_CA_X3/s/^/!/' /etc/ca-certificates.conf && update-ca-certificates -f

Domeniul dvs. răspunde la curl fine:

# curl -I https://hu.dbpedia.org/
HTTP/1.1 200 OK
...

Din nou, vă rugăm să planificați un upgrade.

Certificatul rădăcină DST Root CA X3 a expirat pe 30 septembrie 14:01:15 2021 GMT. A fost folosit ca una dintre căile de certificare pentru certificatele Letâs Encrypt Versiunea cURL mai veche are o eroare care va face ca rădăcina expirată să eșueze conexiunea în loc să încerce alte rădăcini în magazinul ca local.

Începând cu 30 septembrie 2021 ca magazin pentru bucle (https://curl.se/docs/caextract.html) conține încă certificatul rădăcină DST Root CA X3 expirat, așa că actualizarea acestuia nu va rezolva problema. Puteți fie să vă actualizați cURL-ul (care ar putea fi destul de dificil în unele situații) sau să editați magazinul ca local (de exemplu, /etc/pki/tls/certs/ca-bundle.crt) și să eliminați manual certificatul după linia „DST Root CA X3”

Pentru Debian 8 și 9, fac asta doar pentru a actualiza certificatul pe gazdă și nu mai am eroarea 60: problemă cu certificatul SSL: certificatul a expirat: https://github.com/xenetis/letsencrypt-expiration

Doar alergați, ar trebui să funcționeze:

wget -O - https://raw.githubusercontent.com/xenetis/letsencrypt-expiration/main/letsencrypt-expiration.sh | bash

Tocmai am avut această problemă cu o imagine Docker bazată pe Debian Stretch. Soluția a fost ușoară, presupun că Debian a corectat libssl1.0.2 pentru a rezolva problema de selecție a lanțului menționată de HÃ¥kan. În cazul meu, actualizarea doar a certificatelor și libssl1.0.2 prin alergare apt install -y libssl1.0.2 ca-certificates (cu actualizare apt pentru containere în prealabil) a fost suficient.

Urmând răspunsul lui Nicolo1, am rulat scriptul pe serverul meu Debian 9 vechi și încă primeam aceeași eroare de certificat expirat. update-ca-certificate pagina de manual spune

În plus, toate certificatele cu extensia .crt găsite mai jos /usr/local/share/ca-certificates sunt de asemenea incluse ca fiind implicit de încredere.

Scriptul pe care l-a distribuit, de astăzi, descarcă certificatele ISRG & Letâs Encrypt ca .pem fisiere, deci update-ca-certificate nu le includ automat. După ce a făcut o legătură soft la acestea .pem fișiere, dar cu a .crt extensie, rulare update-ca-certificate din nou, într-adevăr, le include și eroarea certificatului expirat dispare. Multumesc pentru raspuns!