Impossibile verificare localmente l'autorità dell'emittente

Non riesco ad aprire alcun URL https usando wget o curl:

$ wget https://www.python.org
--2015-04-27 17:17:33--  https://www.python.org/
Resolving www.python.org (www.python.org)... 103.245.222.223
Connecting to www.python.org (www.python.org)|103.245.222.223|:443... connected.
ERROR: cannot verify www.python.org's certificate, issued by "/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert SHA2 Extended Validation Server CA":
  Unable to locally verify the issuer's authority.
To connect to www.python.org insecurely, use '--no-check-certificate'.

$ curl https://www.python.org
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: http://curl.haxx.se/docs/sslcerts.html

curl performs SSL certificate verification by default, using a "bundle"
 of Certificate Authority (CA) public keys (CA certs). If the default
 bundle file isn't adequate, you can specify an alternate file
 using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
 the bundle, the certificate verification probably failed due to a
 problem with the certificate (it might be expired, or the name might
 not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
 the -k (or --insecure) option.

Questo sta usando wget 1.12 e curl 7.30.0 su CentOS 5.5. Sembra che qualcosa non vada nel mio negozio di certificati locale, ma non ho idea di come procedere da qui. Qualche idea?

Aggiornamento: dopo aver aggiornato il pacchetto openssl da 0.9.8e-12.el5_4.6 a 0.9.8e-33.el5_11, ora c'è un errore diverso:

$ wget https://pypi.python.org
--2015-04-28 10:27:35--  https://pypi.python.org/
Resolving pypi.python.org (pypi.python.org)... 103.245.222.223
Connecting to pypi.python.org (pypi.python.org)|103.245.222.223|:443... connected.
ERROR: certificate common name "www.python.org" doesn't match requested host name "pypi.python.org".
To connect to pypi.python.org insecurely, use '--no-check-certificate'.

Il problema è la mancanza di supporto per l'indicazione del nome del server. È necessario almeno wget 1.14 o curl 7.18.1 e almeno OpenSSL 0.98f, secondo Wikipedia:

https://en.wikipedia.org/wiki/Server_Name_Indication#Implementation

Stavo avendo un errore simile con https://excellmedia.dl.sourceforge.net/project/astyle/astyle/astyle%203.0.1/astyle_3.0.1_linux.tar.gz su un'immagine docker (circleci / jdk8: 0.1. 1),

Nel mio caso l'aggiornamento dei certificati ca ha risolto il problema:

sudo apt-get install ca-certificates

wgetprima della 1.14 non supporta il soggetto nome alternativo (SAN) *. PyPI utilizza una SAN come alternativa alla sua CN nel suo certificato e wget sta soffocando sulla mancata corrispondenza. L'aggiornamento di wget dovrebbe risolverlo.

* o eventualmente Server Name Indication (SNI) - Non sono sicuro di quale sia applicabile qui.

Riferimenti:

• https://bitbucket.org/pypa/pypi/issues/59#comment-5881915
• https://github.com/pyenv/pyenv/issues/200#issuecomment-47182152
• Altri, che elencherò una volta che avrò più reputazione!

Soluzione 1:

openssl s_client -connect whateversite.com:443 -debug 

Ottieni la chiave del certificato e copia su /etc/ssl/certs.

$ wget https://www.python.org --ca-certificate=/etc/ssl/certsfile

Se vuoi andare in modo insicuro, prova la soluzione 2

Soluzione 2:

$ wget https://www.python.org --no-check-certificate

o utilizzando Curl

$ curl https://www.python.org --insecure

Aggiorna l'ora sul server. Un secondo può causare questo problema!

Controllare con: date

Redhat / CentOS 6/7 yum -y install ntpdate; /usr/sbin/ntpdate -u pool.ntp.org

Ubuntu / Debian apt-get -y install ntpdate; /usr/sbin/ntpdate -u pool.ntp.org

echo "check_certificate = off" >> ~ / .wgetrc