Probleme mit GnuTLS und curl nach Upgrade auf stretch

fatal: unable to access '<whatever>': gnutls_handshake() failed: Public key signature verification has failed.

apt-transport-https, git, curl, alles was auf libcurl basiert (und das ist echt fast alles außer die Browser) – nix geht

Siehe auch: https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=835342 (09. November 2017)

Lösungsansätze: https://michlstechblog.info/blog/debian-git-error-gnutls_handshake-failed-public-key-signature-verification-has-failed/ (09. November 2017) https://stackoverflow.com/questions/39437606/curl-35-gnutls-handshake-failed-public-key-signature-verification-has-fail (09. November 2017)

Lösung ist wohl, libgnutls-deb0-28 zu löschen. Mit dpkg -l | grep gnutls kriegt man eine Übersicht, welche Libs gerade ihr Unwesen auf der Platte treiben.

# apt remove libgnutls-deb0-28
Paketlisten werden gelesen... Fertig
Abhängigkeitsbaum wird aufgebaut.       
Statusinformationen werden eingelesen.... Fertig
Einige Pakete konnten nicht installiert werden. Das kann bedeuten, dass
Sie eine unmögliche Situation angefordert haben oder, wenn Sie die
Unstable-Distribution verwenden, dass einige erforderliche Pakete noch
nicht erstellt wurden oder Incoming noch nicht verlassen haben.
Die folgenden Informationen helfen Ihnen vielleicht, die Situation zu lösen:

Die folgenden Pakete haben unerfüllte Abhängigkeiten:
 libcurl3-gnutls : Hängt ab von: librtmp1 (>= 2.4+20131018.git79459a2-3~) soll aber nicht installiert werden
E: Fehler: Unterbrechungen durch pkgProblemResolver::Resolve hervorgerufen; dies könnte durch zurückgehaltene Pakete verursacht worden sein.

Funktioniert aber nicht! Nach tagelangem Rumprobieren - aptitude ist schlauer als apt:

# aptitude remove librtmp1
Die folgenden Pakete werden ENTFERNT:               
  librtmp1 
0 Pakete aktualisiert, 0 zusätzlich installiert, 1 werden entfernt und 1 nicht aktualisiert.
0 B an Archiven müssen heruntergeladen werden. Nach dem Entpacken werden 164 kB frei werden.
Die folgenden Pakete haben verletzte Abhängigkeiten:
 libavformat56 : Hängt ab von: librtmp1 (>= 2.3) but it is not going to be installed
 libcurl3 : Hängt ab von: librtmp1 (>= 2.4+20131018.git79459a2-3~) but it is not going to be installed
 mencoder : Hängt ab von: librtmp1 (>= 2.3) but it is not going to be installed
 gstreamer1.0-plugins-bad : Hängt ab von: librtmp1 (>= 2.3) but it is not going to be installed
 vlc-plugin-base : Hängt ab von: librtmp1 (>= 2.3) but it is not going to be installed
 libcurl3-gnutls : Hängt ab von: librtmp1 (>= 2.4+20131018.git79459a2-3~) but it is not going to be installed
 mplayer : Hängt ab von: librtmp1 (>= 2.3) but it is not going to be installed
Die folgenden Aktionen werden diese Abhängigkeiten auflösen:

     Beibehalten der folgenden Pakete in ihrer aktuellen Version:
1)     librtmp1 [2:2.4~20150315.gita107cef9b-dmo1+deb8u2 (now)]  



Diese Lösung akzeptieren? [Y/n/q/?] n
Die folgenden Aktionen werden diese Abhängigkeiten auflösen:

     Downgrade der folgenden Pakete:                                                                      
1)     librtmp1 [2:2.4~20150315.gita107cef9b-dmo1+deb8u2 (now) -> 2.4+20151223.gitfa8646d.1-1+b1 (stable)]



Diese Lösung akzeptieren? [Y/n/q/?] Y
Die folgenden Pakete werden durch eine ÄLTERE VERSION ERSETZT (Downgrade):
  librtmp1 
0 Pakete aktualisiert, 0 zusätzlich installiert, 1 durch eine ältere Version ersetzt, 0 werden entfernt und 1 nicht aktualisiert.
60,4 kB an Archiven müssen heruntergeladen werden. Nach dem Entpacken werden 18,4 kB frei werden.
Möchten Sie fortsetzen? [Y/n/?] Y
Holen: 1 ftp://ftp.de.debian.org/debian stretch/main amd64 librtmp1 amd64 2.4+20151223.gitfa8646d.1-1+b1 [60,4 kB]
60,4 kB wurden in 0 s heruntergeladen (165 kB/s)
dpkg: Warnung: Version 2:2.4~20150315.gita107cef9b-dmo1+deb8u2 des Paketes librtmp1:amd64 wird durch ältere Version 2.4+20151223.gitfa8646d.1-1+b1 ersetzt
(Lese Datenbank ... 462583 Dateien und Verzeichnisse sind derzeit installiert.)
Vorbereitung zum Entpacken von .../librtmp1_2.4+20151223.gitfa8646d.1-1+b1_amd64.deb ...
Entpacken von librtmp1:amd64 (2.4+20151223.gitfa8646d.1-1+b1) über (2:2.4~20150315.gita107cef9b-dmo1+deb8u2) ...
librtmp1:amd64 (2.4+20151223.gitfa8646d.1-1+b1) wird eingerichtet ...
Trigger für libc-bin (2.24-11+deb9u1) werden verarbeitet ...

Und git, apt-transport-https, curl und eben alles was auf libcurl basiert leuft wieder bei SSL-Verbindungen. 8-) Hatte eine neuere Version von librtmp1 auf dem Rechner, als im Debrepo von stretch vorhanden, wohl aus ner anderen Quelle. (Die anderen Quellen sollte man dann erstmal ausmachen.) Somit passt die Version von libgnutls nicht zur librtmp1 und nix ging mehr. libgnutls sagt bei der Abhängigkeit ja nur, Version größer als, ohne Einschränkung nach oben, und das ist der Haken. Beides wieder aus der selben Quelle, schon passt es wieder zusammen.