Bug 38300

Summary:	Нужно изменить алгоритм по умолчанию у ntp-keygen
Product:	Sisyphus	Reporter:	Sergey Y. Afonin <asy>
Component:	ntp-utils	Assignee:	Sergey Y. Afonin <asy>
Status:	CLOSED FIXED	QA Contact:	qa-sisyphus
Severity:	enhancement
Priority:	P5	CC:	asy, mike, vercha
Version:	unstable
Hardware:	x86_64
OS:	Linux

Description Sergey Y. Afonin 2020-03-30 10:27:13 MSK

Ввиду отключения старых алгоритмов в openssl надо поменять алгоритм по умолчанию у ntp-keygen, Баг на основе Bug 38287, возникающая ошибка:

Verify RSA-MD5 certificate fails
error:0D0C50A1:asn1 encoding routines:ASN1_item_verify:unknown message digest algorithm

Похожий баг в багзилле ntp: https://bugs.ntp.org/2518
Но тут пишут про умолчание в самом openssl вроде как. Может быть это и правильнее.

Сейчас можно менять алгоритм посредством параметра "-с".

Comment 1 Sergey Y. Afonin 2020-03-30 10:28:24 MSK

Подождём закрытия https://bugs.ntp.org/2518 пока.

Comment 2 Sergey Y. Afonin 2020-03-31 13:10:47 MSK

Учитывая наличие патча openssl-rh-weak-ciphers.patch в openssl, вероятно, что проблема не общая, а специфичная для RH и ALT.

Comment 3 Sergey Y. Afonin 2020-03-31 23:23:24 MSK

(In reply to Sergey Y. Afonin from comment #2)

> Учитывая наличие патча openssl-rh-weak-ciphers.patch в openssl, вероятно,
> что проблема не общая, а специфичная для RH и ALT.

Этот патч не при чём, но вывод совпал. Проблема с RSA-MD5 пропадает, если отключить у openssl все патчи. Разбираться, какой из них влияет, наверное смысла нет.

Comment 4 Repository Robot 2020-04-04 16:16:37 MSK

ntp-4.2.8p14-alt2 -> sisyphus:

 Sat Apr 04 2020 Sergey Y. Afonin <asy@altlinux> 4.2.8p14-alt2
 - updated License tag to SPDX syntax, changed to GPL-3.0-or-later
 - added ntp-4.2.8p14-MD5-to-SHA1-default.patch (ALT #38300)
 - added libcrypto with build version to Requires (ALT #38287)

Comment 5 Sergey Y. Afonin 2020-04-04 16:23:40 MSK

Всё же поменял scheme = "RSA-MD5" на scheme = "RSA-SHA1" в ntp-keygen.c и кое-где в документации. Не поменял в ntp-keygen-opts.def, так как autogen почему-то не справляется:

 Error in template /usr/share/autogen/cmd-doc.tlib, line 219
         DEFINITIONS ERROR in /usr/share/autogen/cmd-doc.tlib line 219 for ntp-keygen-opts.mdoc:
         Cannot locate converter for mdoc
 Failing Guile command:  = = = = =

Что интересно, работает и с RSA-SHA256. В документации не встречается, но в коде упоминается, ещё и с SHA384 и SHA512. Умолчанием делать не стал, хотя, может быть, и стоило.