30 сентября, внезапно, поотваливались все домены с ssl-сетифакатами от letsencrypt, которые дергались curl-ом.
Лечение.
apt-get update && apt-get install curl
sed -i '/^mozilla\/DST_Root_CA_X3/s/^/!/' /etc/ca-certificates.conf && update-ca-certificates -f
Добавлю. Если у вас старая версия Дебиан (например 8) То обновиться просто-так не получиться.
Сначала нужно в sources.list заменить ссылки на пакеты
Было
Срок действия старого корня Letsencrypt ("DST Root CA X3") истек.
Новая цепочка LE по умолчанию пытается быть «дополнительной совместимой», представляя необязательное расширение цепочки, где новый корень («ISRG Root X1») представлен как промежуточный элемент с перекрестной подписью для старого корня (поскольку очень старые версии Android все еще принять просроченный рут, но не иметь нового рута)
В Openssl 1.0 есть ошибка, из-за которой он просто пытается попробовать первую цепочку, которую видит, и если это не нравится, он не рассматривает никаких других возможностей (например, более короткая новая цепочка, заканчивающаяся на X1, по сравнению с более длинным расширением «совместимости» этой цепи, проходящей через X1 в X3).
libcurl3 в Debian 9 связана с libssl 1.0
Новая цепочка LE по умолчанию пытается быть «дополнительной совместимой», представляя необязательное расширение цепочки, где новый корень («ISRG Root X1») представлен как промежуточный элемент с перекрестной подписью для старого корня (поскольку очень старые версии Android все еще принять просроченный рут, но не иметь нового рута)
В Openssl 1.0 есть ошибка, из-за которой он просто пытается попробовать первую цепочку, которую видит, и если это не нравится, он не рассматривает никаких других возможностей (например, более короткая новая цепочка, заканчивающаяся на X1, по сравнению с более длинным расширением «совместимости» этой цепи, проходящей через X1 в X3).
libcurl3 в Debian 9 связана с libssl 1.0
apt-get update && apt-get install curl
sed -i '/^mozilla\/DST_Root_CA_X3/s/^/!/' /etc/ca-certificates.conf && update-ca-certificates -f
Добавлю. Если у вас старая версия Дебиан (например 8) То обновиться просто-так не получиться.
Сначала нужно в sources.list заменить ссылки на пакеты
Было
Стало
Потом делаем это
Последнее редактирование:
