Nie można wget z github, błąd uzgadniania sslv3

10

Mamy skrypt, który pobiera zabezpieczenia mod z github, który niedawno zaczął się nie powieść. Na serwerach działa CentOS 6, ale RHEL 6 prawdopodobnie ma ten sam problem. Dane wyjściowe to:

# wget https://github.com/downloads/SpiderLabs/ModSecurity/modsecurity-apache_2.7.1.tar.gz
--2014-07-22 18:49:46--  https://github.com/downloads/SpiderLabs/ModSecurity/modsecurity-apache_2.7.1.tar.gz
Resolving github.com... 192.30.252.129
Connecting to github.com|192.30.252.129|:443... connected.
HTTP request sent, awaiting response... 302 Found
Location: https://cloud.github.com/downloads/SpiderLabs/ModSecurity/modsecurity-apache_2.7.1.tar.gz [following]
--2014-07-22 18:49:47--  https://cloud.github.com/downloads/SpiderLabs/ModSecurity/modsecurity-apache_2.7.1.tar.gz
Resolving cloud.github.com... 54.230.99.219, 205.251.219.190, 54.230.97.212, ...
Connecting to cloud.github.com|54.230.99.219|:443... connected.
OpenSSL: error:14077410:SSL routines:SSL23_GET_SERVER_HELLO:sslv3 alert handshake failure
Unable to establish SSL connection.

Wszelkie pomysły, jak to naprawić lub obejść?

centos wget github

— Kristofer
źródło

2

użyj innej aplikacji, np.curl

— Rabin

2

Mówiąc ściślej, zarówno 54.230.99.219, jak i kilka (różnych) A, które otrzymuję dla cloud.github.com, powodują niepowodzenie uzgadniania z s_client bez opcji ServerNameIndication. serverfault.com/questions/560053/... mówi (kilka miesięcy temu) Wget RedHat nie robi SNI, ale curl.

— dave_thompson_085

Masz szczęście, że zaakceptowałeś moją odpowiedź

— Anton Dozortsev

Cóż, szczerze mówiąc wolałbym, aby @ dave_thompson_085 lub Rabin opublikowali swoje komentarze jako odpowiedzi, ponieważ uważam, że jest to bardziej długoterminowe rozwiązanie, mimo że obejście również działa świetnie!

— Kristofer

2

Jeśli się nie mylę, masz na myśli to repozytorium . Postaraj się, aby formularz URL prasowe .

Ta sprawa działa dla mnie:

$ wget https://github.com/SpiderLabs/ModSecurity/archive/v2.8.0.tar.gz

PS Mam również ten sam komunikat o błędzie podczas próby uruchomienia sprawy;

$ wget https://github.com/downloads/SpiderLabs/ModSecurity/modsecurity-apache_2.7.1.tar.gz

— Anton Dozortsev
źródło

Hmm, ten adres URL nie ma jednak md5 :(

— Kristofer

raw.githubusercontent.com/$ {USER} / $ {REPO} /path/to/file.tar.gz

— Maksim Kostromin

10

Możesz użyć curlpolecenia, aby go pobrać:

curl -LO https://github.com/downloads/SpiderLabs/ModSecurity/modsecurity-apache_2.7.1.tar.gz

— rajesh gupta
źródło

5

curl -L -Ojest lepszym zamiennikiem wget, ponieważ następuje przekierowanie HTTP (szczególnie przydatne tutaj, ponieważ Github chce wskazać mi swój CDN).

— dziwne cechy

Ponadto jedną z rzeczy, na które natknąłem się w wersjach w CentOS 6.5, jest to, że curlobsługuje SNI, a wgetnie obsługuje , więc dla niektórych stron wgetczasami certyfikat będzie dostarczany do niewłaściwego hosta i otrzyma błąd certyfikatu, nawet jeśli curldziała dobrze.

— rakslice

7

Po stronie serwera wyłączono uzgadnianie szyfrowania SSLv3 z powodu poważnych problemów związanych z bezpieczeństwem SSLv3. Co więcej, twój klient wget jest przestarzałą wersją i nadal domyślnie używa tego szyfrowania SSLv3. Masz 2 opcje:

użyj --secure-protokół = Flaga TLSv1 przed wget. wget --secure-protocol=TLSv1
zainstaluj zaktualizowaną wersję wget, która używa jako domyślnego protokołu TLSv1

— Vassilis Blazos
źródło

5

Powinieneś sprawdzić swoją wersję wget.

Miałem ten sam problem ze starszymi wersjami wget(<1.15).

— Dan
źródło

2

Wygląda na to, że powinien to być komentarz do pytania, a nie odpowiedź.

— Danny Staple

0

Jeśli chodzi o obejście, jeśli ufasz hostowi, spróbuj podać --no-check-certificatelub dodać:

check_certificate = off

do twojego ~/.wgetrc(niezalecane).

W niektórych rzadkich przypadkach jest to spowodowane czasem systemowym, który może być niezsynchronizowany, a tym samym unieważniać certyfikaty, które wcześniej działały.

— kenorb
źródło

-1

Spróbuj tego:

update-crypto-policies --set LEGACY

— José Luis González Chacón
źródło

3

Witamy na stronie i dziękuję za Twój wkład. Czy możesz zmodyfikować swój post, aby zawierał pewne wyjaśnienia, tj. W szczególności, który z symptomów opisanych przez PO prowadzi do wniosku, że problemem są zasady kryptograficzne i dlaczego ich zmiana w ten sposób może je rozwiązać? Chodzi o to, aby odpowiedzi były jak najbardziej samodzielne, aby były przydatne nie tylko dla PO, ale także dla innych borykających się z podobnymi problemami.

— AdminBee

1

Jeśli jest to narzędzie wprowadzone przez RHEL 8, powinieneś to powiedzieć i zdać sobie sprawę, że to pytanie dotyczy RHEL6.

— Jeff Schaller