- versioned Obsoletes

up to 20240203

blacklist expired cert; rel 2

up to 20230311

fix %pretrans on first install; rel 3

if /etc/ssl/certs does not exist yet stat() returns nil:

error: lua script failed: [string "%pretrans(ca-certificates-20211016-2.noarch)"]:2: attempt to index a nil value (local 'mode')

- rewrite pretrans in lua to fix chicken-egg problem with /bin/sh on first install, rel 2

up to 20211016

up to 20211004

- patch to handle python cryptography api change
  (x509.load_der_x509_certificate() requires bytes in >= 35 instead of
  bytearray)
- blacklist EC-ACC certificate which stricter python cryptography fails
  to parse
- upstream dropped/blacklisted expired certs

Rel 6; make sure we don't include expired certs

Release 5 (by relup.sh)

fix self conflict on /etc/ssl/certs/ca-certificates.crt; rel 4

"file /etc/ssl/certs/ca-certificates.crt conflicts between attempted installs of ca-certificates-20210119-3.noarch and ca-certificates-20210119-3.noarch"

on systems which got an update to ca-certificates-20180409-3 upgrade
may fail under rpm4 with above error. the reason being incomplete
migration from /etc/ssl/certs being a symlink (20180409-3 f1df9d4) to
becoming a directory (20180409-4 0923a3c). drop symlink in %pretrans.

rediff patches; rel 3

- release 2 (by relup.sh)

don't mark ca-certificates.crt as %config(noreplace)

...or it may never get updated after single installation of
ca-certificates-update. Let's assume anyone with custom certificates has
ca-certificates-update which will update ca-certificates.crt after
upgrade

drop expired certificates

class1.pem: Not After : Apr 26 10:32:12 2005 GMT
class2.pem: Not After : Jun 4 09:05:44 2005 GMT
class3.pem: Not After : Jun 4 09:13:06 2005 GMT
class4.pem: Not After : Jun 4 09:19:41 2006 GMT
level1.pem: Not After : Jul 12 16:31:53 2012 GMT
level2.pem: Not After : Jul 12 16:32:03 2012 GMT
level3.pem: Not After : Jul 12 16:32:17 2012 GMT
level4.pem: Not After : Jul 12 16:32:35 2012 GMT
na.pem: Not After : Aug 28 17:16:25 2012 GMT
tsa.pem: Not After : Aug 28 17:05:14 2012 GMT
vs.pem: Not After : Aug 28 17:10:36 2012 GMT
TERENACodeSigningCA.crt: Not After : May 30 10:48:38 2020 GMT
TERENAeScienceSSLCA.crt: Not After : May 30 10:48:38 2020 GMT
TERENASSLCA.crt: Not After : May 30 10:48:38 2020 GMT
ESTEID-SK_2007.PEM.cer: Not After : Aug 26 14:23:01 2016 GMT
ESTEID-SK.PEM.cer: Not After : Jan 13 16:44:50 2012 GMT
JUUR-SK.PEM.cer: Not After : Aug 26 14:23:01 2016 GMT

up to 20210119

remove dead links in /etc/openssl/certs when uninstalling update

up to 20200601

- use more specific cert begin/end pattern (END occurs in b64 content
  now)

up to 20190110

symlink just /etc/ssl/certs/ca-certificates.crt

Restrictive permissions to PLD /etc/certs break gajim when symlinked to
/etc/ssl/certs:

> 2019-01-13 13:27:08 (E) nbxmpp.tls_nb PlugIn: while trying _startSSL():
> Traceback (most recent call last):
>   File "/usr/share/python3.7/site-packages/nbxmpp/tls_nb.py", line 288, in plugin
>     res = self._startSSL()
>   File "/usr/share/python3.7/site-packages/nbxmpp/tls_nb.py", line 327, in _startSSL
>     result = self._startSSL_pyOpenSSL()
>   File "/usr/share/python3.7/site-packages/nbxmpp/tls_nb.py", line 451, in _startSSL_pyOpenSSL
>     for f in os.listdir('/etc/ssl/certs'):
> PermissionError: [Errno 13] Permission denied: '/etc/ssl/certs'

Release: 4

Include Debian-compatible /etc/ssl/certs symlink

That is required for proper operation of the Steam client

Release: 3

- openssl rehash command does not exist as of openssl 1.0.2o, use c_rehash.sh script
- rel 2

- up to 20180409

remove _outdated_ _intermediate_ Let's Encrypt certs

These are already outdated (see https://letsencrypt.org/certificates/)
and should never be here anyway, as they are intermediates not roots.

- up to 20170717

- release 2 (by relup.sh)

- one letsencrypt certificate (#1204656 from bugzilla.mozilla.org) has been merged; cleanup

up to 20161130+nmu1

- rel 4; drop thawte zip and use mozilla bundle (which is more current)

add link to 2eecd52

- rel 3; add letsencrypt certificates (approved by mozilla)

change group from libraries to base

python3 changes in mozilla/certdata2pem.py require py2.6

- bcond description

- rel 2; rm duplicate cert and fail if we produce duplicates in our bundle

up to 20160104

replace the nonsense cacert.org URL with actual source

- added new TERENA TCS 2 certificates (Comodo SHA256)
- added new TERENA TCS 3 certificates (DigiCert)

- up to 20150426

move todo from separate file to .spec

.
add /etc/pki/tls/certs/ca-bundle.crt symlink to %{certsdir}/ca-certificates.crt

this lessens need to patch software locations to ca-bundle.crt, as
really, only pld uses the path we use.
maybe this should be opposite way file vs symlink?

- add new Certum SHA2 certificates
- I've one signed with this cert... wrrrr ;-)

- up to 20141019

- updated to 20140927

- updated to 20140325

up to 20140223; cacert.org dropped

- Debian will no longer ship cacert.org certificates.
- Update mozilla/certdata.txt to version 1.97.
- Dropped endline.patch, fix is upstream

package /etc/pki/tls dir

up to 20130906: Update mozilla/certdata.txt to version 1.94

Certificates added (+) and removed (-):
 + "CA Disig Root R1"
 + "CA Disig Root R2"
 + "China Internet Network Information Center EV Certificates Root"
 + "D-TRUST Root Class 3 CA 2 2009"
 + "D-TRUST Root Class 3 CA 2 EV 2009"
 + "PSCProcert"
 + "Swisscom Root CA 2"
 + "Swisscom Root EV CA 2"
 + "TURKTRUST Certificate Services Provider Root 2007"
 - "Equifax Secure eBusiness CA 2"
 - "TC TrustCenter Universal CA III"

ca-certificates (20130610) unstable; urgency=low

CAcert root and class3 certificates are now installed as individual
files, no longer as the concatenation of the two. The certificates
are installed as cacert.org_root.crt and cacert.org_class3.crt for
ease of identification.

Remove obsolete debconf.org CA.
Remove obsolete SPI CA certificate expired in 2007.

- rel 2; regenerate

- updated to 20130119

- up to 20121114, no changes to certs

- rpm5 treats # as comment, so it won't work in urls

- up to 20121105

 Update mozilla/certdata.txt to version 1.86
   Certificates added (+) (none removed):
   + "Actalis Authentication Root CA"
   + "Trustis FPS Root CA"
   + "StartCom Certification Authority" (renewal/rehash)
   + "StartCom Certification Authority G2"
   + "Buypass Class 2 Root CA"
   + "Buypass Class 3 Root CA"
   + "TÜRKTRUST Elektronik Sertifika Hizmet Sağlayıcısı"
   + "T-TeleSec GlobalRoot Class 3"
   + "EE Certification Centre Root CA"

-- Michael Shuler <michael@pbandjelly.org>  Mon, 05 Nov 2012 10:56:28

- %prep that depends BR moved to build

- release 4 (by relup.sh)

use same paths on AC as on HEAD

- update to 20120623
- mozilla certs changed license to MPL-2.0
- mozilla/certdata.txt updated to version 1.81:
  Certificates added (+) and removed (-):
  + "Security Communication RootCA2"
  + "EC-ACC"
  + "Hellenic Academic and Research Institutions RootCA 2011"
  - "Verisign Class 2 Public Primary Certification Authority"
  - "Verisign Class 4 Public Primary Certification Authority - G2"
  - "TC TrustCenter, Germany, Class 2 CA"
  - "TC TrustCenter, Germany, Class 3 CA"

Changed files:
    ca-certificates.spec -> 1.52

- rel 2
- current version already contains all certs from mozilla

Changed files:
    ca-certificates-mozilla.patch -> 1.4
    ca-certificates.spec -> 1.51

- add /etc/ca-certificates.d to support local certs, so there won't be need to edit package version of /etc/ca-certificates.conf, and thus no .rpmnew merge need

Changed files:
    ca-certificates.d.patch -> 1.1
    ca-certificates.spec -> 1.50

- up to 20120212, see changelog for added/removed ca-s

Changed files:
    TODO -> 1.6
    ca-certificates-etc-certs.patch -> 1.11
    ca-certificates-more-certs.patch -> 1.7
    ca-certificates-mozilla.patch -> 1.3
    ca-certificates.spec -> 1.49

- Version: 20110502+nmu1 - blacklisted a compromised "DigiNotar Root CA" certificate

Changed files:
    ca-certificates.spec -> 1.48

- svn link for amsn

Changed files:
    TODO -> 1.5

- vcs link for amsn

Changed files:
    TODO -> 1.4

- vcs link for pidgin

Changed files:
    TODO -> 1.3

- up to 20110502 (no changes to certs)

Changed files:
    ca-certificates.spec -> 1.47

- pidgin todo

Changed files:
    TODO -> 1.2

- add amsn bundled certs todo

Changed files:
    TODO -> 1.1
    ca-certificates.spec -> 1.46

- some merge tool needed for /etc/ca-certificates.conf

Changed files:
    ca-certificates.spec -> 1.45

- Juur-SK included by mozilla as well

Changed files:
    ca-certificates.spec -> 1.44

- preserve timestamps

Changed files:
    ca-certificates-more-certs.patch -> 1.6
    ca-certificates.spec -> 1.43

- up to 20110421

Changed files:
    ca-certificates-more-certs.patch -> 1.5
    ca-certificates-mozilla.patch -> 1.2
    ca-certificates.spec -> 1.42

- 14; use files without spaces for distfiles

Changed files:
    ca-certificates.spec -> 1.41

- rel 13; fix thawte certs; force interactive mode for cp/mv (so we know if overwrittes happen)

Changed files:
    ca-certificates.spec -> 1.40

- rel 12; fix sk.ee certs; add sk.ee ESTEID 2011

Changed files:
    ca-certificates.spec -> 1.39

- rel 11; update to nmu3 tarball; update external certs

Changed files:
    ca-certificates.spec -> 1.38

- df space problem hack

Changed files:
    ca-certificates.spec -> 1.37

- cross distro compat (ac and likely ti as well); rel 10

Changed files:
    ca-certificates-DESTDIR.patch -> 1.2
    ca-certificates-etc-certs.patch -> 1.10
    ca-certificates-undebianize.patch -> 1.7
    ca-certificates.spec -> 1.36

- rel 9; revert; no hashes in main pkg

Changed files:
    ca-certificates.spec -> 1.35

- rel 8; force new openssl since mixing ca-certificates with hashes from old openssl with new openssl library (and vice versa) is asking for trouble

Changed files:
    ca-certificates.spec -> 1.34

- rel 7

Changed files:
    ca-certificates.spec -> 1.33

- no nazi certs here ;)

Changed files:
    ca-certificates-undebianize.patch -> 1.6

- use same method for generating /etc/certs/ca-certificates.crt at package build time
- %20 vs space fix workaround

Changed files:
    ca-certificates-DESTDIR.patch -> 1.1
    ca-certificates.spec -> 1.32

- one more path to undebianize

Changed files:
    ca-certificates-undebianize.patch -> 1.5

- add esteid certs, www.sk.ee

Changed files:
    ca-certificates-more-certs.patch -> 1.4
    ca-certificates.spec -> 1.31

- added TODO about RSA Security 1024 V3 root CA

Changed files:
    ca-certificates.spec -> 1.30

- rel 6
- added TERENA CA, https://www.terena.org/
- updated mozilla bundle from nss-3.12.5
- avoid making duplicate .pem ext in update-ca-certificates script

Changed files:
    ca-certificates.spec -> 1.29

- updated mozilla bundle from nss-3.12.5

Changed files:
    ca-certificates-mozilla.patch -> 1.1

- added TERENA certs, https://www.terena.org/

Changed files:
    ca-certificates-more-certs.patch -> 1.3

- use the one provided on terena web page

Changed files:
    terena.pem -> 1.2

- TERENA SSL CA, http://www.terena.org/

Changed files:
    terena.pem -> 1.1

- really avoid duplicate ext

Changed files:
    ca-certificates-etc-certs.patch -> 1.9

- avoid missing or duplicate .pem extension

Changed files:
    ca-certificates-etc-certs.patch -> 1.8

- rel 5
- certificate file may not end with newline, take that into account when
  generating ca-certificates.crt in install

Changed files:
    ca-certificates.spec -> 1.28

- fix dir

Changed files:
    ca-certificates-endline.patch -> 1.2

- rel 4
- convert newlines of all files from DOS to UNIX in install
- fix for missing newline at end of file

Changed files:
    ca-certificates.spec -> 1.27

- some pem files does not end with new line, so make sure they do

Changed files:
    ca-certificates-endline.patch -> 1.1

- rel 3
- make update-ca-certificates create bundle in proper place

Changed files:
    ca-certificates-etc-certs.patch -> 1.7
    ca-certificates.spec -> 1.26

- release 2

Changed files:
    ca-certificates.spec -> 1.25

- BR: python-modules

Changed files:
    ca-certificates.spec -> 1.24