TLS nachinstallieren

[genofire]

kA was genau mit SSL nachinstallieren hier gemeint ist:
https://wiki.ffhb.de/Treffen/2022_12_16.md

• welches package soll ssl installieren?
• sind package quellen default nun auf https? (in /etc/opkg/distfed.conf oder so)
  • curl http://downloads.bremen.freifunk.net/opkg/modules/gluon-ffhb-2022.1.1+bremen1/ -v funktioniert ohne https

[genofire]

Edit /etc/opkg/distfeeds.conf to fetch base by http:

then

opkg update
opkg install ca-bundle ca-certificates libustream-openssl

Edit back and run again

opkg update

[oliver]

Ich kann das Problem bestätigen: auf der kommenden Testing-Firmware (2023.1.1+bremen1) funktioniert opkg update nicht mehr. Der versucht wohl, die Paketquellen per HTTPS runterzuladen, aber wir haben keine SSL-Unterstützung installiert. Beispiel (für ein Gerät mit 2023.1.1+bremen1):

# opkg update
Downloading https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/base/Packages.gz
wget: SSL support not available, please install one of the libustream-.*[ssl|tls] packages as well as the ca-bundle and ca-certificates packages.
*** Failed to download the package list from https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/base/Packages.gz

Downloading https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/luci/Packages.gz
wget: SSL support not available, please install one of the libustream-.*[ssl|tls] packages as well as the ca-bundle and ca-certificates packages.
*** Failed to download the package list from https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/luci/Packages.gz

Downloading https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/packages/Packages.gz
wget: SSL support not available, please install one of the libustream-.*[ssl|tls] packages as well as the ca-bundle and ca-certificates packages.
*** Failed to download the package list from https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/packages/Packages.gz

Downloading https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/routing/Packages.gz
wget: SSL support not available, please install one of the libustream-.*[ssl|tls] packages as well as the ca-bundle and ca-certificates packages.
*** Failed to download the package list from https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/routing/Packages.gz

Downloading https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/telephony/Packages.gz
wget: SSL support not available, please install one of the libustream-.*[ssl|tls] packages as well as the ca-bundle and ca-certificates packages.
*** Failed to download the package list from https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/telephony/Packages.gz

Downloading http://downloads.bremen.freifunk.net/opkg/modules/gluon-ffhb-2023.1.1+bremen1/mpc85xx/p1010/Packages.gz
Updated list of available packages in /var/opkg-lists/modules
Downloading http://downloads.bremen.freifunk.net/opkg/modules/gluon-ffhb-2023.1.1+bremen1/mpc85xx/p1010/Packages.sig
Signature check passed.
Collected errors:
 * opkg_download: Failed to download https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/base/Packages.gz, wget returned 1.
 * opkg_download: Failed to download https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/luci/Packages.gz, wget returned 1.
 * opkg_download: Failed to download https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/packages/Packages.gz, wget returned 1.
 * opkg_download: Failed to download https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/routing/Packages.gz, wget returned 1.
 * opkg_download: Failed to download https://downloads.openwrt.org/releases/22.03-SNAPSHOT/packages/powerpc_8540/telephony/Packages.gz, wget returned 1.

Auf einem Gerät mit 2022.1.4+bremen1 seh ich das Problem ebenfalls.

Ich seh zwei Lösungsmöglichkeiten:

• a) wir ändern die Paketquellen-URLs von https auf http. Das müsste in der site.conf machbar sein, über den opkg-Key (s. https://gluon.readthedocs.io/en/latest/user/site.html)
• b) wir installieren die Pakete für SSL-Unterstützung (z.B. ca-bundle, ca-certificates, libustream-openssl). Ich nehme an, dass das in der site.mk gemacht werden kann, oder?

Ich bin für Lösung b), weil da die Sicherheit besser sein sollte. Wenn ich das richtig sehe, werden damit insgesamt 254 kB Platz zusätzlich belegt (für libustream-openssl20201210 + ca-bundle + ca-certificates). Das finde ich aber vertretbar, zumal wir mit der Testing-FW sowieso nicht mehr die ganz kleinen Geräte unterstützen.

Meinungen dazu?

[genofire]

Ich bereite gerade v2023.2 vor und würde es für alle nicht tiny Geräte so einstellen.