[devel] Просрочен сертификат на git.alt?

[devel] Просрочен сертификат на git.alt?

[Leonid Krivoshein]

Добрый день!


Не могу обновиться из задания #290340:

# apt-get update
Пропущено http://git.altlinux.org repo/290340/x86_64 release
Ошибка http://git.altlinux.org repo/290340/x86_64/task pkglist
   Undetermined Error
Пропущено http://git.altlinux.org repo/290340/x86_64/task release
E: Failed to fetch 
http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task 
Undetermined Error
E: Some index files failed to download. They have been ignored, or old 
ones used instead.

При проверке через wget:

$ wget http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
--2021-11-21 13:58:23-- 
http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
Распознаётся git.altlinux.org (git.altlinux.org)… 194.107.17.12
Подключение к git.altlinux.org (git.altlinux.org)|194.107.17.12|:80... 
соединение установлено.
HTTP-запрос отправлен. Ожидание ответа… 301 Moved Permanently
Адрес: https://git.altlinux.org/repo/290340/x86_64/base/pkglist.task 
[переход]
--2021-11-21 13:58:23-- 
https://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
Подключение к git.altlinux.org (git.altlinux.org)|194.107.17.12|:443... 
соединение установлено.
ОШИБКА: невозможно проверить сертификат git.altlinux.org, выпущенный 
«CN=R3,O=Let's Encrypt,C=US»:
   Для запрошенного сертификата истёк срок действия.
Для небезопасного подключения к git.altlinux.org используйте параметр 
«--no-check-certificate».

Обновляюсь с разных машин, проблема точно на стороне сервера. Ночью всё 
ещё работало.


-- 
Best regards,
Leonid Krivoshein.

Re: [devel] Просроченные https-клиенты

[Dmitry V. Levin]

On Sun, Nov 21, 2021 at 02:03:53PM +0300, Leonid Krivoshein wrote:
> Добрый день!
> 
> Не могу обновиться из задания #290340:
> 
> # apt-get update
> Пропущено http://git.altlinux.org repo/290340/x86_64 release
> Ошибка http://git.altlinux.org repo/290340/x86_64/task pkglist
>    Undetermined Error
> Пропущено http://git.altlinux.org repo/290340/x86_64/task release
> E: Failed to fetch 
> http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task 
> Undetermined Error
> E: Some index files failed to download. They have been ignored, or old 
> ones used instead.
> 
> При проверке через wget:
> 
> $ wget http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
> --2021-11-21 13:58:23-- 
> http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
> Распознаётся git.altlinux.org (git.altlinux.org)… 194.107.17.12
> Подключение к git.altlinux.org (git.altlinux.org)|194.107.17.12|:80... 
> соединение установлено.
> HTTP-запрос отправлен. Ожидание ответа… 301 Moved Permanently
> Адрес: https://git.altlinux.org/repo/290340/x86_64/base/pkglist.task 
> [переход]
> --2021-11-21 13:58:23-- 
> https://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
> Подключение к git.altlinux.org (git.altlinux.org)|194.107.17.12|:443... 
> соединение установлено.
> ОШИБКА: невозможно проверить сертификат git.altlinux.org, выпущенный 
> «CN=R3,O=Let's Encrypt,C=US»:
>    Для запрошенного сертификата истёк срок действия.
> Для небезопасного подключения к git.altlinux.org используйте параметр 
> «--no-check-certificate».
> 
> Обновляюсь с разных машин, проблема точно на стороне сервера. Ночью всё 
> ещё работало.

Ночью никакого https там не было.  Проблема на стороне клиента, обновите
весь софт, имеющий отношение к https, который используется wget и другими
клиентами, которыми вы пользуетесь.


-- 
ldv

Re: [devel] на git.alt появился https

[Dmitry V. Levin]

On Sun, Nov 21, 2021 at 02:03:53PM +0300, Leonid Krivoshein wrote:
> Добрый день!
> 
> Не могу обновиться из задания #290340:
> 
> # apt-get update
> Пропущено http://git.altlinux.org repo/290340/x86_64 release
> Ошибка http://git.altlinux.org repo/290340/x86_64/task pkglist
>    Undetermined Error
> Пропущено http://git.altlinux.org repo/290340/x86_64/task release
> E: Failed to fetch 
> http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task 
> Undetermined Error
> E: Some index files failed to download. They have been ignored, or old 
> ones used instead.

Говорят, что apt не умеет redirect, в таком случае надо поменять адрес
http://git.altlinux.org на https://git.altlinux.org вручную,
или воспользоваться зеркалами.


-- 
ldv

Re: [devel] на git.alt появился https

[Leonid Krivoshein]

21.11.2021 15:12, Dmitry V. Levin пишет:
> On Sun, Nov 21, 2021 at 02:03:53PM +0300, Leonid Krivoshein wrote:
>> Добрый день!
>>
>> Не могу обновиться из задания #290340:
>>
>> # apt-get update
>> Пропущено http://git.altlinux.org repo/290340/x86_64 release
>> Ошибка http://git.altlinux.org repo/290340/x86_64/task pkglist
>>     Undetermined Error
>> Пропущено http://git.altlinux.org repo/290340/x86_64/task release
>> E: Failed to fetch
>> http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
>> Undetermined Error
>> E: Some index files failed to download. They have been ignored, or old
>> ones used instead.
> Говорят, что apt не умеет redirect, в таком случае надо поменять адрес
> http://git.altlinux.org на https://git.altlinux.org вручную,
> или воспользоваться зеркалами.

Пробовал прописать https в sources.list -- не помогло. До этого система 
была обновлена.
Помогла до-установка пакета apt-https, сразу всё заработало. Сейчас 
прописан http.
Иначе стоило бы обновить сразу и apt-repo...


-- 
Best regards,
Leonid Krivoshein.

Re: [devel] на git.alt появился https

[Dmitry V. Levin]

On Sun, Nov 21, 2021 at 03:57:32PM +0300, Leonid Krivoshein wrote:
> 
> 21.11.2021 15:12, Dmitry V. Levin пишет:
> > On Sun, Nov 21, 2021 at 02:03:53PM +0300, Leonid Krivoshein wrote:
> >> Добрый день!
> >>
> >> Не могу обновиться из задания #290340:
> >>
> >> # apt-get update
> >> Пропущено http://git.altlinux.org repo/290340/x86_64 release
> >> Ошибка http://git.altlinux.org repo/290340/x86_64/task pkglist
> >>     Undetermined Error
> >> Пропущено http://git.altlinux.org repo/290340/x86_64/task release
> >> E: Failed to fetch
> >> http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
> >> Undetermined Error
> >> E: Some index files failed to download. They have been ignored, or old
> >> ones used instead.
> > Говорят, что apt не умеет redirect, в таком случае надо поменять адрес
> > http://git.altlinux.org на https://git.altlinux.org вручную,
> > или воспользоваться зеркалами.
> 
> Пробовал прописать https в sources.list -- не помогло. До этого система 
> была обновлена.
> Помогла до-установка пакета apt-https, сразу всё заработало. Сейчас 
> прописан http.
> Иначе стоило бы обновить сразу и apt-repo...

Как это всё могло помочь wget'у, интересно?


-- 
ldv

Re: [devel] на git.alt появился https

[Leonid Krivoshein]

21.11.2021 16:01, Dmitry V. Levin пишет:
> On Sun, Nov 21, 2021 at 03:57:32PM +0300, Leonid Krivoshein wrote:
>> 21.11.2021 15:12, Dmitry V. Levin пишет:
>>> On Sun, Nov 21, 2021 at 02:03:53PM +0300, Leonid Krivoshein wrote:
>>>> Добрый день!
>>>>
>>>> Не могу обновиться из задания #290340:
>>>>
>>>> # apt-get update
>>>> Пропущено http://git.altlinux.org repo/290340/x86_64 release
>>>> Ошибка http://git.altlinux.org repo/290340/x86_64/task pkglist
>>>>      Undetermined Error
>>>> Пропущено http://git.altlinux.org repo/290340/x86_64/task release
>>>> E: Failed to fetch
>>>> http://git.altlinux.org/repo/290340/x86_64/base/pkglist.task
>>>> Undetermined Error
>>>> E: Some index files failed to download. They have been ignored, or old
>>>> ones used instead.
>>> Говорят, что apt не умеет redirect, в таком случае надо поменять адрес
>>> http://git.altlinux.org на https://git.altlinux.org вручную,
>>> или воспользоваться зеркалами.
>> Пробовал прописать https в sources.list -- не помогло. До этого система
>> была обновлена.
>> Помогла до-установка пакета apt-https, сразу всё заработало. Сейчас
>> прописан http.
>> Иначе стоило бы обновить сразу и apt-repo...
> Как это всё могло помочь wget'у, интересно?

С его помощью я пытался понять, что происходит.
Теперь понятно: git.alt научился https! :-)


-- 
Best regards,
Leonid Krivoshein.

Re: [devel] на git.alt появился https

[Michael Shigorin]

On Sun, Nov 21, 2021 at 04:07:06PM +0300, Leonid Krivoshein wrote:
> >>>> Не могу обновиться из задания #290340:
> Теперь понятно: git.alt научился https! :-)

Хуже -- опять прилепили с принудительным редиректом
и, видимо, HSTS.

На сколько грабель вида "отказ в обслуживании" надо наступить,
чтобы понять, что завязываться на принудительный SSL -- стрелять
себе же в ногу, даже если OCSP-серверы делают вид, что работают
(и собирают бигдату), а не лежат?..

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [devel] на git.alt появился https

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 1556 bytes --]

On Sun, Nov 21, 2021 at 08:43:15PM +0300, Michael Shigorin wrote:
> On Sun, Nov 21, 2021 at 04:07:06PM +0300, Leonid Krivoshein wrote:
> > >>>> Не могу обновиться из задания #290340:
> > Теперь понятно: git.alt научился https! :-)
> 
> Хуже -- опять прилепили с принудительным редиректом
> и, видимо, HSTS.

Ну его-то зачем...

У меня всё крепнет ощущение, что HTTPS к сабжу приделывали не в Москве. :)

> На сколько грабель вида "отказ в обслуживании" надо наступить,
> чтобы понять, что завязываться на принудительный SSL -- стрелять
> себе же в ногу, даже если OCSP-серверы делают вид, что работают
> (и собирают бигдату), а не лежат?..

А бывают ли в _дикой_ природе юзер-агенты, в которых OCSP-проверки
не асинхронны, а их неудачный исход ведёт к отказу отображать веб-страницу?

Вот мой старый планшет, к которому обновлений больше никогда не будет и
на котором с недавних пор новые LE-сертификаты считаются недоверенными —
гораздо лучший пример.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] на git.alt появился https?

[Arseny Maslennikov]

[-- Attachment #1: Type: text/plain, Size: 918 bytes --]

On Sun, Nov 21, 2021 at 04:07:06PM +0300, Leonid Krivoshein wrote:
> Теперь понятно: git.alt научился https! :-)

Это только вход в кроличью нору.

Захожу на https://git.altlinux.org/tasks/X броузером. Вижу страницу без
стилей:
>> Blocked loading mixed active content “http://yastatic.net/bootstrap/3.3.4/css/bootstrap.min.css”

Ну и вот это грех не пофиксить:
>> The character encoding of the HTML document was not declared. The document will render with garbled text in some browser configurations if the document contains characters from outside the US-ASCII range. The character encoding of the page must be declared in the document or in the transfer protocol.
`<meta charset=... />' в голове.

И ссылку на sisyphus ru лучше заменить на новый p.a.o.

[-- Attachment #2: signature.asc --]
[-- Type: application/pgp-signature, Size: 833 bytes --]

Re: [devel] на git.alt появился https?

[Dmitry V. Levin]

On Mon, Nov 22, 2021 at 12:09:14AM +0300, Arseny Maslennikov wrote:
> On Sun, Nov 21, 2021 at 04:07:06PM +0300, Leonid Krivoshein wrote:
> > Теперь понятно: git.alt научился https! :-)
> 
> Это только вход в кроличью нору.
> 
> Захожу на https://git.altlinux.org/tasks/X броузером. Вижу страницу без

Патчи на bin/girar-task-make-index-html приветствуются.


-- 
ldv

Re: [devel] на git.alt появился https?

[Anton Farygin]

On 22.11.2021 01:53, Dmitry V. Levin wrote:
> On Mon, Nov 22, 2021 at 12:09:14AM +0300, Arseny Maslennikov wrote:
>> On Sun, Nov 21, 2021 at 04:07:06PM +0300, Leonid Krivoshein wrote:
>>> Теперь понятно: git.alt научился https! :-)
>> Это только вход в кроличью нору.
>>
>> Захожу на https://git.altlinux.org/tasks/X броузером. Вижу страницу без
> Патчи на bin/girar-task-make-index-html приветствуются.
>
>
http://yastatic.net/bootstrap/3.3.4/css/bootstrap.min.css - тут http 
заменить на https. Вот только что делать с уже сгенерёнными данными.