Ứng dụng khách trên Debian 9 báo cáo sai chứng chỉ đã hết hạn cho miền do letsencrypt cấp

Nếu tôi cố truy cập máy chủ HTTPS có chứng chỉ do certbot cấp từ debian 9, tôi gặp lỗi sau:

 # cuộn tròn -v https://hu.dbpedia.org/
 * Đang thử 195.111.2.82...
 * Bộ TCP_NODELAY
 * Đã kết nối với cổng hu.dbpedia.org (195.111.2.82) 443 (#0)
 * ALPN, cung cấp h2
 * ALPN, cung cấp http/1.1
 * Lựa chọn mật mã: TẤT CẢ:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
 * đặt thành công vị trí xác minh chứng chỉ:
 * Tệp CA: /etc/ssl/certs/ca-certificates.crt
   CApath: /etc/ssl/certs
 * TLSv1.2 (OUT), tiêu đề TLS, Trạng thái chứng chỉ (22):
 * TLSv1.2 (OUT), TLS handshake, Client hello (1):
 * TLSv1.2 (IN), TLS handshake, Server hello (2):
 * TLSv1.2 (IN), bắt tay TLS, Chứng chỉ (11):
 * TLSv1.2 (OUT), Cảnh báo TLS, Xin chào máy chủ (2):
 * Sự cố chứng chỉ SSL: chứng chỉ đã hết hạn
 * Curl_http_done: gọi là quá sớm == 1
 * đã dừng luồng tạm dừng!
 * Đóng kết nối 0
 curl: (60) Sự cố chứng chỉ SSL: chứng chỉ đã hết hạn

Tuy nhiên, nếu tôi thử lệnh tương tự từ debian 10, nó sẽ thành công.

Tôi đã cố gắng sao chép tất cả các chứng chỉ ca từ máy ảo debian 10 sang máy ảo debian 9 (sang /usr/local/share/ca-certificates) bằng rsync, rồi chạy cập nhật-ca-chứng chỉ dường như đã thêm hơn 400 chứng chỉ. Thật không may, nó đã không giúp đỡ. Điều này không có gì lạ, vì dường như có cùng các chứng chỉ trên cả debian 9 và 10.

Câu hỏi của tôi là: Làm cách nào tôi có thể truy cập các trang web có chứng chỉ certbot từ máy debian 9 mà không bỏ qua xác minh chứng chỉ hoàn toàn

Cảnh báo! Vui lòng lập kế hoạch lộ trình nâng cấp hệ điều hành. Lời khuyên dưới đây chỉ nên được áp dụng trong trường hợp khẩn cấp để khắc phục nhanh chóng một hệ thống quan trọng.

Giải pháp bên dưới hoạt động trên Debian Jessy 8 và trên Stretch 9 cũng thiếu các bản cập nhật. Tôi chỉ thử nghiệm nó trên docker run -it debian:jessie bash, apt-get cập nhật && apt-get cài đặt cuộn tròn.

Trước:

# cuộn tròn -tôi https://hu.dbpedia.org
curl: (60) Sự cố chứng chỉ SSL: chứng chỉ đã hết hạn
Thêm chi tiết tại đây: http://curl.haxx.se/docs/sslcerts.html
....

Trước tiên hãy kiểm tra xem bạn có chứng chỉ DST Root CA X3 vi phạm hay không:

# grep X3 /etc/ca-certificates.conf 
mozilla/DST_Root_CA_X3.crt

Các bản phát hành Debian cũ cũng có ISRG Root X1 thích hợp:

# grep X1 /etc/ca-certificates.conf 
mozilla/ISRG_Root_X1.crt

Điều này sẽ vô hiệu hóa X3:

# sed -i '/^mozilla\/DST_Root_CA_X3/s/^/!/' /etc/ca-certificates.conf && update-ca-certificates -f

Miền của bạn đáp ứng tốt với curl:

# cuộn tròn -tôi https://hu.dbpedia.org/
HTTP/1.1 200 OK
...

Một lần nữa, hãy lên kế hoạch nâng cấp.

Chứng chỉ gốc DST Root CA X3 đã hết hạn vào ngày 30 tháng 9 lúc 14:01:15 2021 GMT. Nó được sử dụng làm một trong những đường dẫn chứng nhận cho chứng chỉ Letâs Encrypt Phiên bản cURL cũ hơn có một lỗi khiến root hết hạn không thể kết nối thay vì thử các root khác trong cửa hàng ca cục bộ.

Kể từ ngày 30 tháng 9 năm 2021 ca cửa hàng cho curl (https://curl.se/docs/caextract.html) vẫn chứa chứng chỉ gốc DST Root CA X3 đã hết hạn nên việc cập nhật chứng chỉ này sẽ không khắc phục được sự cố. Bạn có thể cập nhật cURL của mình (điều này có thể khá khó khăn trong một số trường hợp) hoặc chỉnh sửa cửa hàng ca cục bộ (ví dụ: /etc/pki/tls/certs/ca-bundle.crt) và xóa chứng chỉ theo cách thủ công sau dòng "DST Root CA X3"

Đối với Debian 8 và 9, tôi chỉ làm vậy để cập nhật chứng chỉ trên máy chủ và không còn gặp lỗi 60: Sự cố chứng chỉ SSL: chứng chỉ đã hết hạn : https://github.com/xenetis/letsencrypt-expiration

Chỉ cần chạy, nó sẽ hoạt động:

wget -O - https://raw.githubusercontent.com/xenetis/letsencrypt-expiration/main/letsencrypt-expiration.sh | đánh đập

Tôi vừa gặp sự cố này với hình ảnh Docker dựa trên Debian Stretch. Giải pháp thật dễ dàng, tôi cho rằng Debian đã vá lỗi libssl1.0.2 để khắc phục sự cố lựa chọn chuỗi mà HÃ¥kan đã đề cập. Trong trường hợp của tôi, chỉ cập nhật các chứng chỉ và libssl1.0.2 bằng cách chạy cài đặt apt -y libssl1.0.2 chứng chỉ ca (với cập nhật apt cho container trước) là đủ.

Theo câu trả lời của Nicolo1, tôi đã chạy tập lệnh trên máy chủ Debian 9 đã cũ của mình và vẫn nhận được lỗi hết hạn chứng chỉ tương tự. cập nhật-ca-chứng chỉ trang người đàn ông nói

Hơn nữa, tất cả các chứng chỉ có phần mở rộng .crt được tìm thấy bên dưới /usr/local/share/ca-certificates cũng được bao gồm dưới dạng hoàn toàn đáng tin cậy.

Tập lệnh mà anh ấy đã chia sẻ, kể từ hôm nay, hãy tải xuống chứng chỉ ISRG & Letâs Encrypt dưới dạng .pem tập tin, vì vậy cập nhật-ca-chứng chỉ không tự động bao gồm chúng. Sau khi tạo một liên kết mềm đến những .pem tập tin, nhưng với một .crt mở rộng, chạy cập nhật-ca-chứng chỉ một lần nữa thực sự bao gồm chúng và lỗi chứng chỉ hết hạn sẽ biến mất. Cảm ơn bạn vì câu trả lời!