Bug 61235

Summary:

после обновления не корректная работа chromium с крипто-про

Product:

Sisyphus

Reporter:

Barsook <knaz-san>

Component:

nss

Assignee:

Ajrat Makhmutov <rauty>

Status:

ASSIGNED ---

QA Contact:

qa-sisyphus

Severity:

normal

Priority:

CC:

amakeenk, belayaav, knaz-san, legion, rauty, zerg

Version:

unstable

Hardware:

x86_64

OS:

Linux

Attachments:

Description	Flags
Список обновления пакетов	none

Description

Barsook 2026-10-27 13:46:49 MSK

Created attachment 22818 [details]
Список обновления пакетов

После обновления сборки альт кде стартер от сентября 2026 года, перестало пускать в закрытую часть сайта zakupki.gov.ru https://lk.zakupki.gov.ru/sso/svr
При запуске Chromium через терминал, при переходе (момент запроса сертификата):
[8858:8864:1027/130620.729826:ERROR:net/ssl/openssl_ssl_util.cc:170] OpenSSL SYSCALL error, earliest error code in error queue: 0: Выполнено (0)
[8858:8864:1027/130620.729849:ERROR:net/socket/ssl_client_socket_impl.cc:1090] handshake failed; returned 0, SSL error code 5, net_error -2
[8858:8864:1027/130620.737242:ERROR:net/ssl/openssl_ssl_util.cc:170] OpenSSL SYSCALL error, earliest error code in error queue: 0: Выполнено (0)
[8858:8864:1027/130620.737280:ERROR:net/socket/ssl_client_socket_impl.cc:1090] handshake failed; returned 0, SSL error code 5, net_error -2
[8858:8864:1027/130620.904212:ERROR:net/ssl/openssl_ssl_util.cc:170] OpenSSL SYSCALL error, earliest error code in error queue: 0: Выполнено (0)
[8858:8864:1027/130620.904227:ERROR:net/socket/ssl_client_socket_impl.cc:1090] handshake failed; returned 0, SSL error code 5, net_error -2
[8858:8864:1027/130620.927885:ERROR:net/ssl/openssl_ssl_util.cc:170] OpenSSL SYSCALL error, earliest error code in error queue: 0: Выполнено (0)
[8858:8864:1027/130620.927899:ERROR:net/socket/ssl_client_socket_impl.cc:1090] handshake failed; returned 0, SSL error code 5, net_error -2
[8858:8864:1027/130625.985429:ERROR:net/ssl/openssl_ssl_util.cc:170] OpenSSL SYSCALL error, earliest error code in error queue: 0: Выполнено (0)
[8858:8864:1027/130625.985511:ERROR:net/socket/ssl_client_socket_impl.cc:1090] handshake failed; returned 0, SSL error code 5, net_error -2
[8858:8864:1027/130626.000877:ERROR:net/ssl/openssl_ssl_util.cc:170] OpenSSL SYSCALL error, earliest error code in error queue: 0: Выполнено (0)
[8858:8864:1027/130626.000940:ERROR:net/socket/ssl_client_socket_impl.cc:1090] handshake failed; returned 0, SSL error code 5, net_error -2

Переустановка криптопро проблему не устраняет. До обновления через apt-get dist-upgrade проблема отсутствовала.

Возможно проблемы могут возникнуть с другими сайтами.

Список обновлённых пакетов во вложении.

Comment 1

Alexander Makeenkov 2026-10-27 14:43:56 MSK

Покажите, пожалуйста, вывод команд:

$ cat /etc/os-release
$ apt-repo
$ rpm -q chromium

И версию криптопро.

Comment 2

Barsook 2026-10-27 16:46:59 MSK

откатился по инструкции https://www.altlinux.org/Downgrade до 19.10.2026, проблема не возникает.

Comment 3

Barsook 2026-10-27 17:13:57 MSK

(Ответ для Alexander Makeenkov на комментарий #1)
> Покажите, пожалуйста, вывод команд:
> 
> $ cat /etc/os-release
> $ apt-repo
> $ rpm -q chromium
> 
> И версию криптопро.

# cat /etc/os-release
NAME="ALT"
VERSION="11"
ID=altlinux
VERSION_ID=11
PRETTY_NAME="ALT Starterkit 11 (Salvia)"
VARIANT="Starterkit"
ANSI_COLOR="1;33"
CPE_NAME="cpe:/o:alt:starterkit:11"
BUILD_ID="ALT Starterkit 11"
ALT_BRANCH_ID="p11"
HOME_URL="https://en.altlinux.org/starterkits"
BUG_REPORT_URL="https://bugs.altlinux.org/"
LOGO=altlinux

# apt-repo
rpm [p11] http://mirror.yandex.ru/altlinux p11/branch/x86_64 classic
rpm [p11] http://mirror.yandex.ru/altlinux p11/branch/x86_64-i586 classic
rpm [p11] http://mirror.yandex.ru/altlinux p11/branch/noarch classic

Сейчас стоит репозиторий яндексе, потому, что http://ftp.altlinux.org/pub/distributions/ALTLinux p11/branch/x86_64 classic
медленно отдавал обновления.

rpm -q chromium
chromium-152.0.7977.82-alt0.p11.1.x86_64

версия КриптоПро SCP 5.0.13003

Comment 4

Barsook 2026-10-28 11:31:10 MSK

После неоднократных откатов пакетной базы до 21.10.2026 и обновлений пакетов было выяснено, что проблема возникает после обновления пакета libnss, не зависимо от того какие пакеты обновляются в месте с ним.

apt-get install libnss
Чтение списков пакетов... Завершено
Построение дерева зависимостей... Завершено
Следующие пакеты будут ОБНОВЛЕНЫ:
libnss
1 будет обновлено, 0 новых установлено, 0 пакетов будет удалено и 178 не будет обновлено.
Необходимо получить 0B/1406kB архивов.
После распаковки потребуется дополнительно 7552B дискового пространства.
Совершаем изменения...
Подготовка... #################################################################################################### [100%]
Обновление / установка...
1: libnss-3.132-alt1 #################################################################################################### [ 50%]
Очистка / удаление...
2: libnss-3.128-alt1 #################################################################################################### [100%]
Завершено.

Comment 5

Белая Алёна 2026-10-29 15:19:47 MSK

Ошибка воспроизведена в Sisyphus

libnss-3.132-alt1
openssl-3.5.8-alt1
chromium-155.0.8059.84-alt1

Версия КриптоПро: 5.0.13000_R3_Titan

При попытке зайти на сайт появляется ошибка: "ERR_SSL_VERSION_OR_CIPHER_MISMATCH"

Comment 6

Ajrat Makhmutov 2026-10-29 17:23:57 MSK

Причина найдена: регрессия в NSS 3.132. NSS стал отклонять сертификаты, если алгоритм открытого ключа неизвестен ему, даже когда этот алгоритм поддерживается сторонним PKCS#11 модулем.

Исправление подготовлено и проверено на тестовом стенде: NSS 3.132 с патчем снова принимает проблемный сертификат, контрольная проверка с RSA-сертификатом также проходит. Полный сценарий Chromium + КриптоПро пока не проверялся.

Upstream bug:
https://bugzilla.mozilla.org/show_bug.cgi?id=2087030

Патч отправлен на ревью upstream:
https://phabricator.services.mozilla.com/D337989

Патч для p11 также подготовлен. Обновление пакета будет собрано после завершения ревью.