o arquivo CA desapareceu após a atualização dos pacotes do Ubuntu

Question

Eu tenho o (s) servidor (es) do Ubuntu 12.04 que não foram atualizados por 2 anos. Está funcionando bem e está bem até que decidimos atualizá-lo.

Após a atualização (apt-get upgrade), o arquivo CA /usr/share/ca-certificates/mozilla/Entrust.net_Secure_Server_CA.crt desapareceu e o programa não pode acessar Entrust Certification Authority - L1C .

Alguma ideia de por que isso aconteceu?

Aqui está o log:

ubuntu@ip-10-67-192-40:~$ curl -i https://api.demo.com/ #works ubuntu@ip-10-67-192-40:~$ file /etc/ssl/certs/5f267794.0 /etc/ssl/certs/5f267794.0: symbolic link to 'Entrust.net_Secure_Server_CA.pem' ubuntu@ip-10-67-192-40:~$ file /etc/ssl/certs/Entrust.net_Secure_Server_CA.pem /etc/ssl/certs/Entrust.net_Secure_Server_CA.pem: symbolic link to '/usr/share/ca-certificates/mozilla/Entrust.net_Secure_Server_CA.crt' ubuntu@ip-10-67-192-40:~$ file /usr/share/ca-certificates/mozilla/Entrust.net_Secure_Server_CA.crt /usr/share/ca-certificates/mozilla/Entrust.net_Secure_Server_CA.crt: PEM certificate ubuntu@ip-10-67-192-40:~$ sudo update-ca-certificates Updating certificates in /etc/ssl/certs... 0 added, 0 removed; done. Running hooks in /etc/ca-certificates/update.d....done. root@ip-10-67-192-40:~# apt-get update; apt-get upgrade ubuntu@ip-10-67-192-40:~$ curl -i https://api.demo.com/ #dosen't work

    

Answer 1

Parece que esta é a entrada relevante do changelog:

ca-certificates (20140927) unstable; urgency=medium

  * Update Mozilla certificate authority bundle to version 2.1.
  [...]
    The following certificate authorities were removed (-):
    - "Entrust.net Secure Server CA"
  [...]

 -- Michael Shuler <[email protected]>  Sat, 27 Sep 2014 15:14:00 -0500

Um pouco rápido de DDG e eu encontrei este bug mozilla solicitando remoção, com uma referência para este outro bug que sugere que o certificado de CA em questão foi preterido, teve todos os bits de confiança removidos e assim foi removido do NSS.

Dado que o certificado foi removido do NSS em 2011 (Firefox 6) e foi presumivelmente obsoleto em algum momento anterior, eu diria que já passou da hora de obter um novo certificado para o site que você está tentando acessar.

    

Answer 2

Update: It seems Xero is transitioning to a new certificate, which resolves this problem. The simple fix is to use sha2-api.xero.com instead of api.xero.com. But beware you'll need to change back by April 2016. More details: http://developer.xero.com/sha2-ssl-cert-migration-advisory-notice/

Estávamos com o mesmo problema nos conectando ao api.xero.com nos servidores Ubuntu 14.04 usando o curl.

Para elaborar a resposta anterior, a solução é instalar o certificado Entrust Secure Server CA manualmente em seu armazenamento de certificados de autoridade de certificação. Esta é uma CA raiz (descontinuada). O certificado pode ser baixado em: link

Faça o download e coloque o arquivo em /usr/local/share/ca-certificates . Certifique-se de que tenha uma extensão .crt (não a .cer que acompanha).

Em seguida, execute sudo update-ca-certificates para recriar o pacote da CA do sistema.