Erro ao conectar-se a alguns URLs HTTPS

Question

Estou com problemas para me conectar a alguns sites usando https. O wget e o curl reclamam que não podem verificar o certificado. Presumo que isso seja a falta de certificados raiz no meu NAS. Por exemplo:

ReadyNAS:~# wget https://pypi.python.org/
--2016-04-12 20:08:51--  https://pypi.python.org/
Resolving pypi.python.org... 23.235.43.223
Connecting to pypi.python.org|23.235.43.223|:443... connected.
ERROR: cannot verify pypi.python.org's certificate, issued by '/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 Extended Validation Server CA':
  Unable to locally verify the issuer's authority.
ERROR: certificate common name 'www.python.org' doesn't match requested host name 'pypi.python.org'.
To connect to pypi.python.org insecurely, use '--no-check-certificate'.
Unable to establish SSL connection.

Eu compilei e atualizei manualmente tanto o curl quanto o wget para versões bastante recentes (GNU Wget 1.11.4; libcurl / 7.45.0 GnuTLS / 3.3.18 zlib / 1.2.3.3), mas sem sucesso.

Backstory: A distribuição linux no meu NAS é bastante antiga (Debian Sid, Linux 2.6.37.6). Os comandos regulares para atualizar o armazenamento SSL não parecem ter efeito.

Como eu encontraria a causa desses problemas de conexão e os resolveria?

    

Answer 1

Existem dois erros:

ERROR: cannot verify pypi.python.org's certificate, issued by '/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 Extended Validation Server CA': Unable to locally verify the issuer's authority.

Isso significa que o DigiCert CA não está no armazenamento confiável do sistema operacional. Você deve ser capaz de adicionar o download do CA crt (ou seja, do Firefox), em seguida, adicioná-lo:

cp digicert.crt /usr/local/share/ca-certificates/digicert.crt

update-ca-certificates

(Eu não tenho certeza sobre esses comandos, mas deve funcionar no Debian antigo também ...)

ERROR: certificate common name 'www.python.org' doesn't match requested host name 'pypi.python.org'.

Isso significa que o certificado não era problema para o domínio pypi.python.org, mas, verificando o certificado com o firefox, posso ver que pypi.python.org está listado no certificado. Talvez este seja um alarme falso causado por CA ausente, tente consertá-lo antes.

[nostálgico] Awww, um bom e velho kernel 2.6: D [/ nostálgico]