[Update 20221202] FATAL: SSL certificate problem: unable to get local issuer certificate

$ curl -Iv https://nki.gov.hu
*   Trying 84.206.8.14:443...
* Connected to nki.gov.hu (84.206.8.14) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs
* TLSv1.0 (OUT), TLS header, Certificate Status (22):
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS header, Certificate Status (22):
* TLSv1.3 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (OUT), TLS header, Unknown (21):
* TLSv1.2 (OUT), TLS alert, handshake failure (552):
* error:0A000152:SSL routines::unsafe legacy renegotiation disabled
* Closing connection 0

$ openssl s_client -connect nki.gov.hu:443 -showcerts </dev/null
CONNECTED(00000005)
depth=0 C = HU, L = Budapest, O = Nemzetbiztonsági Szakszolgálat, CN = nbsz.gov.hu, serialNumber = 1.3.6.1.4.1.21528.2.3.2.3986
verify error:num=20:unable to get local issuer certificate
verify return:1
depth=0 C = HU, L = Budapest, O = Nemzetbiztonsági Szakszolgálat, CN = nbsz.gov.hu, serialNumber = 1.3.6.1.4.1.21528.2.3.2.3986
verify error:num=21:unable to verify the first certificate
verify return:1
---
Certificate chain
 0 s:/C=HU/L=Budapest/O=Nemzetbiztonsági Szakszolgálat/CN=nbsz.gov.hu/serialNumber=1.3.6.1.4.1.21528.2.3.2.3986
   i:/C=HU/L=Budapest/O=Microsec Ltd./CN=e-Szigno SSL CA 2014/emailAddress=info@e-szigno.hu

TL;DR, ha esetleg valaki nem lenne natív az openssl hibák értelmezésében:

"Kedves NKI, légyszi küldjetek certificate hintet (azaz az intermediate CA-k tanúsítványát kapcsolatfelvételkor), mert enélkül nem tudják a kliensek megbízhatóan validálni a szervert."

+1
nálam is ez a panasz (OpenSSL 3):

00876DFB877F0000:error:0A000152:SSL routines:final_renegotiate:unsafe legacy renegotiation disabled:ssl/statem/extensions.c:880:

Persze ha felajánlom a TLS1.0-t vagy TLS1.1-t, akkor már más:

SSL_CTX_set_min_proto_version(TLSv1.0) succeed
SSL_CTX_set_max_proto_version(TLSv1.1) succeed
SSL_CTX_set_cipher_list("ALL@SECLEVEL=0") succeed
20221115.131409.069 SSL_connect(socket=3) retuned -1
                    SSL_error=5: SYSCALL/ERROR
                    errno=104: Connection reset by peer

Google szerint ilyen mágia van a háttérben: SSL_OP_ALLOW_UNSAFE_LEGACY_RENEGOTIATION vagy SSL_OP_LEGACY_SERVER_CONNECT

https://www.openssl.org/docs/man3.0/man3/SSL_get_secure_renegotiation_s…

Szerk: az utóbbi opcióval létrejön a kapcsolat, TLS1.2
SSL_CIPHER_description: ECDHE-RSA-AES256-GCM-SHA384 TLSv1.2 Kx=ECDH Au=RSA Enc=AESGCM(256) Mac=AEAD

mennyi hekker van itt, te jó ég :)

Qualys: "This server's certificate chain is incomplete. Grade capped to B." - Mondjam azt, hogy szégyenmozdonyt nekik...?

engem mondjuk az is érdekelne, hogy a public suffix listben miért nincs benne a gov.hu

Hessinnenteg:Notwörkszformí :)