Я думаю, что лучше добавить зависимость в gnutls.

ping. 
словил тоже:
https://altlinux.space/cloud/image-forge/issues/70

Я не уверен, что это будет правильно. Разве не может быть желания установить только свои сертификаты и не использовать ca-certificates?

(Ответ для Mikhail Efremov на комментарий #3)
> Я не уверен, что это будет правильно. Разве не может быть желания установить
> только свои сертификаты и не использовать ca-certificates?

Я о таком не слышал. Придумать странных сценариев можно много, но не стоит ломать существующие. А именно - apt-https с нашим родным зеркалом не работоспособен без ca-certificates.

Ну так это вопрос обратно к apt-https тогда. Здесь же речь идет о добавлении зависимости в библиотеку, которой эта зависимость вообще говоря не нужна. Если добавить зависимость на ca-certificates, то он будет приезжать всем клиентам этой библиотеки, а мне совсем не очевидно, что все приложения, использующие gnutls, всегда должны использовать ca-certificates.
Т.е. зависимость на самом деле нужна не библиотеке, а ее клиентам, и я не уверен что вот прям всем и всегда.

Но ведь у библиотеки могут быть и другие страдающие клиенты.

Я думаю это вопрос даже не клиентов библиотеки, а администрирования: каким именно сертификатам в системе можно доверять определять должен именно администратор системы.
Но я вот вижу, что libcrypto имеет зависимость на ca-certificates. Это мне тоже кажется странным, но раз так, то добавление такой зависимости в gnutls сильно хуже уже не сделает.

Спасибо.

и это изменение ещё бы в p11, как минимум.

gnutls30-3.8.13-alt2 -> sisyphus:

Thu Aug 20 2026 Mikhail Efremov <sem@altlinux> 3.8.13-alt2
- Require ca-certificates (closes: #51766).