☰

アップデート後の Curl NSS / SSL エラー

tag-icon • tag-icon yum curl
アップデート後の Curl NSS / SSL エラー

私はカスタム内部認証サーバーを使用しています。最後の更新ラウンドで問題が発生し始めましたが、これは暗号の変更によるものと思われます。これは完全に更新された CentOS6 ボックス上にあります。

curl https://crowd.test.org:8443 \
   --cacert /etc/pki/ca-trust/source/anchors/ca.crt \
   -vvv
* About to connect() to crowd.test.org port 8443 (#0)
*   Trying 192.XXX.XXX.XXX... connected
* Connected to crowd.test.org (192.XXX.XXX.XXX) port 8443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/ca-trust/source/anchors/ca.crt
  CApath: none
* NSS error -12173
* Closing connection #0
* SSL connect error
curl: (35) SSL connect error
You have mail in /var/mail/root

nmap で確認したところ、サポートされている暗号 TLS_DHE_RSA_WITH_AES_128_CBC_SHA が見つかりました。これを curl サイトで確認したところ、次のものが実際に機能することがわかりました。

curl https://crowd.mydomain.org:8443 --cacert \
  /etc/pki/ca-trust/source/anchors/ca2.crt \
  -vvv --tlsv1.0 --ciphers rsa_aes_128_sha

これを修正するにはどうすればいいでしょうか? 従来使用していたダウングレード方法をすでに試しましたが、成功しませんでした。

yum history 
yum history undo 106

答え1

に基づくnss モジュールは、以下の URL からダウンロードできます。これは、サーバーが弱い一時 Diffie-Hellman キーを持っていることを示しているようです。

SSL_ERROR_WEAK_SERVER_EPHEMERAL_DH_KEY = -12173

私がこのエラーを見たサーバーでは、確かにそうでした。

関連情報