Cannot verify certificate в Centos?

Question

[lehha]

С августа 2018 года любой обновленный сервер на Centos 6.10 или Centos 7 не может получить доступ к сайтам с некоторыми сертификатами, так как нет доверия к центру сертификации, выдавшему сертификат.

Например:

wget https://imap.yandex.ru:993
--2018-08-04 20:30:46--  https://imap.yandex.ru:993/
Resolving imap.yandex.ru... 87.250.251.124, 213.180.204.124, 93.158.134.124, ...
Connecting to imap.yandex.ru|87.250.251.124|:993... connected.
ERROR: cannot verify imap.yandex.ru’s certificate, issued by “/C=RU/O=Yandex LLC/OU=Yandex Certification Authority/CN=Yandex CA”:
  Unable to locally verify the issuer’s authority.
To connect to imap.yandex.ru insecurely, use ‘--no-check-certificate’.

Ноги растут из php c imap:

imap_open(): Couldn't open stream {imap.yandex.ru:993/imap/ssl}INBOX in file.php on line 31
PHP Notice:  Unknown: Certificate failure for imap.yandex.ru: unable to get local issuer certificate: /C=PL/O=Unizeto Technologies S.A./OU=Certum Certification Authority/CN=Certum Trusted Network CA (errflg=2)

Причем 99% остальных ресурсов работают корректно.

Системы обновлены, ca-certificates.noarch тоже:

Version     : 2018.2.22
Release     : 65.1.el6
Size        : 2.6 M
Repo        : installed

Эффект можно повторить на свежей виртуалке с Centos 6 или Centos 7 со всеми обновлениями.

ЧЯДНТ?

Answer 1

[CityCat4]

Что непонятного-то? Даже издателя проследили уже, правильно вообще-то мысль шла. Посмотреть издателя сертификата, найти сертификат издателя и поместить в хранилище доверенных сертификатов. Такое бывает, и нередко - выпускается сертификат в УЦ, сертификат которого отсутствует в доверенных, несмотря на то, что это например Комодо. У Комодо множество subCA, и не все их сертификаты распространяются. Нужно вручную найти сертификат этого subCA/

Comments

[lehha]

Вот у Яндекса проблема, видимо, в этом - он не выдает корневой сертификат в цепочке сертификатов. Неужели в Яндексе так глупо поставили сертификат, с неполным chains?

Хотя если тестировать его через openssl, есть эта ошибка:
openssl s_client -showcerts -connect imap.yandex.ru:993

Verify return code: 20 (unable to get local issuer certificate)

Ни у кого с пятницы не сломались скрипты доступа по imap?

[CityCat4]

lehha, Я несколько раз на такое натыкался - когда сертификат с неполной цепочкой издателей и приходилось искать промежуточный сертификат самостоятельно. И это тоже были не лохи в своем деле - однажды это был GeoTrust, другой раз GoDaddy. Ищите промежуточный сертификат самостоятельно и подкидывайте.

Answer 2

[Serg]

CityCat4, lehha, такая же проблема с яндексом возникла :( Удалось ли решить проблему как-нибудь? Какого именно сертификата не хватает?

Comments

[lehha]

Похоже они у себя выложили не всю цепочку сертификатов в SSL. По крайней мере сейчас с той же самой машины всё в порядке.

Саппорт@yandex.ru не смог разобраться и отвечал шаблонными фразами на подобии "перезагрузите компьютер".

[Serg]

у меня ругается

depth=2 C = PL, O = Unizeto Technologies S.A., OU = Certum Certification Authority, CN = Certum Trusted Network CA
verify error:num=20:unable to get local issuer certificate

руками пробовал добавлять корневым их сертификат - ничего не помогает. Яндекс ТП тоже не смогла помочь. Проблема ещё в том, что отвалился платежный шлюз и как решить совершенно не понятно :(

[lehha]

Serg, попробуйте url дернуть с другой сборки, например, с Debian

У меня на всех версиях centos 6 и 7 с последними обновлениями не работало, на debian (ubuntu server) работало.

[Serg]

lehha, с других машин все ок. Задача именно на этой машине запустить.

[lehha]

Serg, с такой же архитектурой и дистрибутивом?

[CityCat4]

Serg, нашли этот сертификат и добавили корневым? Линк на него создали в /etc/pki/tls/certs? (в EL6 это путь по умолчанию к хранилищу)

[lehha]

CityCat4, за давностью лет уже не могу вспомнить как решилось. Сейчас этот сервис не используется (php с imap), и с тестовых машин соединение через wget устанавливается корректно.

Вангую что проблема на стороне Яндекса, либо промежуточный сертификат еще не попал в ca-certificates

Дайте url для проверки, там Яндекс.Касса?

[CityCat4]

lehha, Какая касса, какой урл?

[lehha]

CityCat4, платежный шлюз на стороне яндекса с проблемой? или другой?

[CityCat4]

lehha, у меня нет платежного шлюза :) И никогда не было. И мне он нафиг не нужен - я не продаван :)

Answer 3

[Дмитрий из SportGoroda.ru]

Если кому интересно нашел способ обойти эту ситуацию. Вместо
imap.yandex.ru:993/imap/ssl
прописывать в imap_open()
imap.yandex.ru:993/imap/ssl/novalidate-cert