Ключевое слово в защите информации
ключевое слово
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход. Новые регистрации запрещены.

Уведомление

Icon
Error
4 Страницы123>»
Двойной TLS nginx
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Offline newman22  
#1 Оставлено : 30 июня 2022 г. 9:48:39(UTC)
newman22

Статус: Новичок

Группы: Участники
Зарегистрирован: 30.05.2022(UTC)
Сообщений: 9

Поблагодарили: 1 раз в 1 постах
Добрый день!

Пытаюсь разобраться как настроить двойной TLS, собрал nginx по инструкции
https://support.cryptopr...-c-podderzhkojj-gost-tls

Использую КриптоПРО CSP 5.0R2

Основные проблемы связаны с тем что не принимается клиентский сертификат.

Простой пример конфига

server {
listen 10.10.10.11:443;
server_name bend.ru;

sspi on;
sspi_certificate 0x02B928X39KS398SKF6C5F; #серверный ГОСТ сертификат
sspi_protocols TLSv1.2;
sspi_verify_client on;
sspi_client_certificate TrustedCerts;
access_log /var/log/nginx/access-bend.log combined;
error_log /var/log/nginx/error-bend.log debug;

location / {
root /var/www/html;
index index.html;
}
}

В качестве клиентского сертификата использую тестовый от https://testca.cryptopro.ru/certsrv/

Корневой сертификат тестового УЦ КриптоПро serial: 37418882f539a5924ad44e3de002ea3c установил в хранилище utrustedcerts пользователя nginx
и в хранилище mroot.

При обращении к сайту браузером Chrome GOST идет запрос сертификата клиента, я выбираю и сервер сбрасывает соединение.
В логах сервера ошибка

CertCreateCertificateChainEngine failed: 0x800B0109 while checking remote certificate, client:


Похожая проблема если пытаюсь настроить nginx в режиме прокси с двойным TLS для соединения с backend -
получаю ошибки

client sent no required SSL certificate while reading client request headers

или

CertCreateCertificateChainEngine failed: 0x800B0109 while checking remote certificate, client:

Помогите разобраться в настройкеBrick wall , возможно не те хранилища использую, возможно где то нужно ставить всю цепочку вместе с клиентским сертификатом.
Если вообще проблема в сертификатах.
Вверх
Offline two_oceans  
#2 Оставлено : 30 июня 2022 г. 11:23:13(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 398 раз в 367 постах
Добрый день.
Тестовые УЦ обычно состоят из Корневого УЦ и Промежуточного УЦ. Предположу, что сертификат Вам выдан промежуточным УЦ, а установлен только корневой. Соответственно должно выполняться одно из двух:
1) клиент вместе со своим сертификатом предоставляет сертификат промежуточного УЦ серверу (вариант более универсальный когда УЦ много);
2) Вы предварительно устанавливаете сертификаты любого возможного промежуточного УЦ в хранилища, доступные серверу. Какое именно хранилище точно не могу подсказать, чаще всего это должно быть mCA.
Вверх
Offline newman22  
#3 Оставлено : 30 июня 2022 г. 12:04:23(UTC)
newman22

Статус: Новичок

Группы: Участники
Зарегистрирован: 30.05.2022(UTC)
Сообщений: 9

Поблагодарили: 1 раз в 1 постах
Автор: two_oceans Перейти к цитате
Добрый день.
Тестовые УЦ обычно состоят из Корневого УЦ и Промежуточного УЦ. Предположу, что сертификат Вам выдан промежуточным УЦ, а установлен только корневой. Соответственно должно выполняться одно из двух:
1) клиент вместе со своим сертификатом предоставляет сертификат промежуточного УЦ серверу (вариант более универсальный когда УЦ много);
2) Вы предварительно устанавливаете сертификаты любого возможного промежуточного УЦ в хранилища, доступные серверу. Какое именно хранилище точно не могу подсказать, чаще всего это должно быть mCA.


Отчасти Вы правы, но в моем случае как я понимаю присутствует только коревой т.к. другого я не нахожу тут https://testca.cryptopro.ru/certsrv/certcarc.asp

111111111.PNG (8kb) загружен 13 раз(а).
Вверх
Offline Захар Тихонов  
#4 Оставлено : 30 июня 2022 г. 13:17:26(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,384
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 41 раз
Поблагодарили: 600 раз в 576 постах
Здравствуйте
А клиентский сертификат где выпущен?
Если закомментировать строчку sspi_verify_client on; односторонний работает? (после рестарта службы nginx)
А также пришлите вывод
sudo nginx -V
Техническую поддержку оказываем тут.
Наша база знаний.
Вверх
Offline newman22  
#5 Оставлено : 30 июня 2022 г. 13:51:57(UTC)
newman22

Статус: Новичок

Группы: Участники
Зарегистрирован: 30.05.2022(UTC)
Сообщений: 9

Поблагодарили: 1 раз в 1 постах
Автор: Захар Тихонов Перейти к цитате
Здравствуйте
А клиентский сертификат где выпущен?
Если закомментировать строчку sspi_verify_client on; односторонний работает? (после рестарта службы nginx)
А также пришлите вывод
sudo nginx -V


nginx -V

nginx version: nginx/1.18.0
built by gcc 8.3.0 (AstraLinuxSE 8.3.0-6)
built with OpenSSL 1.1.1l 24 Aug 2021
TLS SNI support enabled
configure arguments: --user=nginx --group=nginx --with-cc-opt='-fstack-protector -fstack-protector-strong --param=ssp-buffer-size=4 -Wformat -Werror=format-security -Werror=implicit-function-declaration -Winit-self -Wp,-D_FORTIFY_SOURCE=2 -fPIC' --with-ld-opt='-Wl,-z,relro -Wl,-z,now -Wl,--as-needed -pie -L/opt/cprocsp/lib/amd64 -lrdrsup -lssp -lcapi10 -lcapi20' --prefix=/opt/nginx --conf-path=/etc/nginx/nginx.conf --error-log-path=/var/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --lock-path=/var/run/lock/nginx.lock --pid-path=/var/run/nginx.pid --with-pcre=../pcre-8.45/ --with-pcre-jit --with-zlib=../zlib-1.2.12/ --with-http_ssl_module --with-http_sspi_module --with-http_stub_status_module --with-openssl=../openssl-1.1.1l/ --with-openssl-opt='no-gost no-comp no-dtls no-deprecated no-dynamic-engine no-engine no-hw-padlock no-nextprotoneg no-psk no-tests no-ts no-ui-console no-ocsp' --with-stream --with-stream_ssl_module --with-stream_sspi_module --with-http_v2_module --with-pcre-opt=-fPIC --with-zlib-opt=-fPIC

Если закомментировать строчку sspi_verify_client on;
Да


А клиентский сертификат где выпущен?

В качестве клиентского сертификата использую тестовый от https://testca.cryptopro.ru/certsrv/
Вверх
Offline Захар Тихонов  
#6 Оставлено : 30 июня 2022 г. 14:07:34(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,384
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 41 раз
Поблагодарили: 600 раз в 576 постах
Корневой сертификат достаточно установить в mRoot.
А CRL от тестового УЦ доступны на клиенте и на сервере по URL из сертификатов?
На клиенте выполните
1. csptest -tlsc -server bend.ru -port 443 -v -nosave
2. Разкоментируйте строчку и перезапустите службу и выполните
csptest -tlsc -server bend.ru -port 443 -v -nosave -user thumbprint
thumbprint - это отпечаток клиентского сертификата. И приложите сертификат клиента и сервера.
Техническую поддержку оказываем тут.
Наша база знаний.
Вверх
Offline newman22  
#7 Оставлено : 1 июля 2022 г. 9:47:12(UTC)
newman22

Статус: Новичок

Группы: Участники
Зарегистрирован: 30.05.2022(UTC)
Сообщений: 9

Поблагодарили: 1 раз в 1 постах
Автор: Захар Тихонов Перейти к цитате
Корневой сертификат достаточно установить в mRoot.
А CRL от тестового УЦ доступны на клиенте и на сервере по URL из сертификатов?
На клиенте выполните
1. csptest -tlsc -server bend.ru -port 443 -v -nosave
2. Разкоментируйте строчку и перезапустите службу и выполните
csptest -tlsc -server bend.ru -port 443 -v -nosave -user thumbprint
thumbprint - это отпечаток клиентского сертификата. И приложите сертификат клиента и сервера.


CRL от тестового УЦ доступны на клиенте - ДА, на сервере -НЕТ, но установил руками в mCA.

Без требования клиентского сертификата csptest -tlsc -server bend.ru -port 443 -v -nosave
Цитата:

11 algorithms supported:
Aglid Class OID
[00] 0x661e 0x6000 1.2.643.2.2.21 (ГОСТ 28147-89)
[01] 0x6631 0x6000 1.2.643.7.1.1.5.2 (ГОСТ Р 34.12-2015 Кузнечик)
[02] 0x6630 0x6000 1.2.643.7.1.1.5.1 (ГОСТ Р 34.12-2015 Магма)
[03] 0x801e 0x8000 1.2.643.2.2.3 (ГОСТ Р 34.11/34.10-2001)
[04] 0x8021 0x8000 1.2.643.7.1.1.2.2 (ГОСТ Р 34.11-2012 256 бит)
[05] 0x801f 0x8000
[06] 0x803d 0x8000
[07] 0x803c 0x8000
[08] 0x2e23 0x2000 1.2.643.2.2.19 (ГОСТ Р 34.10-2001)
[09] 0x2e49 0x2000 1.2.643.7.1.1.1.1 (ГОСТ Р 34.10-2012 256 бит)
[10] 0x2e3d 0x2000 1.2.643.7.1.1.1.2 (ГОСТ Р 34.10-2012 512 бит)
Cipher strengths: 256..256
Supported protocols: 0xa80:
Transport Layer Security 1.0 client side
Transport Layer Security 1.1 client side
Transport Layer Security 1.2 client side
dwProtocolMask: 0x800e2aaa
Protocol version: 3.3
ClientHello: RecordLayer: TLS, Len: 165
SessionId: (empty)
Cipher Suites: (c1 00) (c1 01) (c1 02) (ff 85) (00 81) (c0 30) (c0 2f) (c0 28) (c0 27) (c0 14) (c0 13) (00 9d) (00 9c) (00 3d) (00 3c) (00 35) (00 2f) (00 0a)
170 bytes of handshake data sent
1460 bytes of handshake data received
2904 bytes of handshake data received
229 bytes of handshake data sent
63 bytes of handshake data received
Handshake was successful
SECPKG_ATTR_SESSION_INFO: Reuse: 0, SessionId: 120957f94feae1da7d3264c453f5b1ebd8831ca4aa2658646a082f1fe4e35bea

SECPKG_ATTR_CIPHER_INFO: Version: 1
SECPKG_ATTR_CIPHER_INFO: Protocol: 303
SECPKG_ATTR_CIPHER_INFO: CipherSuite: c100, TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC
SECPKG_ATTR_CIPHER_INFO: BaseCipherSuite: c100
SECPKG_ATTR_CIPHER_INFO: Cipher: GR 34.12-15 K, Len: 256, BlockLen: 1
SECPKG_ATTR_CIPHER_INFO: Hash: GR 34.11-2012 256, Len: 256
SECPKG_ATTR_CIPHER_INFO: Exchange: GOST DH 34.10-2012 256, MinLen: 512, MaxLen: 512
SECPKG_ATTR_CIPHER_INFO: Certificate: GR 34.10-2012 256, KeyType: 0

SECPKG_ATTR_CONNECTION_INFO: Protocol: 0x800 (TLS 1.2)
SECPKG_ATTR_CONNECTION_INFO: Cipher: 0x6631
SECPKG_ATTR_CONNECTION_INFO: Cipher strength: 256
SECPKG_ATTR_CONNECTION_INFO: Hash: 0x8021
SECPKG_ATTR_CONNECTION_INFO: Hash strength: 256
SECPKG_ATTR_CONNECTION_INFO: Exch: 0xaa47
SECPKG_ATTR_CONNECTION_INFO: Key exchange strength: 512

SECPKG_ATTR_KEY_INFO: KeySize: 256
SECPKG_ATTR_KEY_INFO: SignatureAlgorithm: 0x2e23, Name: GOST R 34.11
SECPKG_ATTR_KEY_INFO: EncryptAlgorithm: 0x6631, Name: GR 34.12-2015 Kuznyechik

SECPKG_ATTR_SUPPORTED_SIGNATURES: Supported signatures: (ee ee) (40 08) (ef ef) (41 08) (ed ed)

SECPKG_ATTR_NAMES: STREET="улица , дом 1", UnstructuredName="INNLE=77553423/KPP=88888888/OGRN=1111111111", INNLE=72222222, E=info@ru, OGRN=22222222222, C=RU, S=77 Москва, L=Москва, O="АО ""COMPANY""", CN="АО ""COMPANY"""

SECPKG_ATTR_PACKAGE_INFO: fCapabilities: 0x107B3
SECPKG_ATTR_PACKAGE_INFO: wVersion: 1
SECPKG_ATTR_PACKAGE_INFO: wRPCID: 65535
SECPKG_ATTR_PACKAGE_INFO: cbMaxToken: 16379
SECPKG_ATTR_PACKAGE_INFO: Name: CryptoPro SSP
SECPKG_ATTR_PACKAGE_INFO: Comment: CryptoPro Security Package

Server certificate:
Subject: STREET="улица , дом 1", UnstructuredName="INNLE=77553423/KPP=88888888/OGRN=1111111111", INNLE=72222222, E=info@ru, OGRN=22222222222, C=RU, S=77 Москва, L=Москва, O="АО ""COMPANY""", CN="АО ""COMPANY"""
Valid : 27.05.2022 09:14:17 - 27.05.2023 09:24:17 (UTC)
Issuer : E=uc@roseltorg.ru, OGRN=1097746299353, INN=007707704692, C=RU, S=77 Москва, L=Москва, STREET="ул. Кожевническая, д. 14, стр. 5", OU=Удостоверяющий центр, O="АО ""ЕЭТП""", CN="АО ""ЕЭТП"""
PrivKey: 27.05.2022 09:14:16 - 27.05.2023 09:14:16 (UTC)

SECPKG_ATTR_STREAM_SIZES: Header: 5, Trailer: 16, MaxMessage: 16384
SECPKG_ATTR_STREAM_SIZES: Buffers: 4, BlockSize: 1

SECPKG_ATTR_SIZES: MaxToken: 16384
SECPKG_ATTR_SIZES: MaxSignature: 16
SECPKG_ATTR_SIZES: BlockSize: 1
SECPKG_ATTR_SIZES: SecurityTrailer: 21

HTTP request: GET / HTTP/1.1
User-Agent: Webclient
Accept:*/*
Host: bend.ru
Connection: close

Sending plaintext: 100 bytes
142 bytes of application data sent
314 bytes of (encrypted) application data received
Decrypted data: 270 bytes
Extra data: 23 bytes
Context expired: OK if file is completely downloaded
Reply status: HTTP/1.1 200 OK
Sending Close Notify
23 bytes of handshake data sent
1 connections, 270 bytes in 0.237 seconds;
Total: SYS: 0.030 sec USR: 0.040 sec UTC: 0.260 sec
[ErrorCode: 0x00000000]



С требованием клиентского сертификата csptest -tlsc -server bend.ru -port 443 -v -nosave

Цитата:

11 algorithms supported:
Aglid Class OID
[00] 0x661e 0x6000 1.2.643.2.2.21 (ГОСТ 28147-89)
[01] 0x6631 0x6000 1.2.643.7.1.1.5.2 (ГОСТ Р 34.12-2015 Кузнечик)
[02] 0x6630 0x6000 1.2.643.7.1.1.5.1 (ГОСТ Р 34.12-2015 Магма)
[03] 0x801e 0x8000 1.2.643.2.2.3 (ГОСТ Р 34.11/34.10-2001)
[04] 0x8021 0x8000 1.2.643.7.1.1.2.2 (ГОСТ Р 34.11-2012 256 бит)
[05] 0x801f 0x8000
[06] 0x803d 0x8000
[07] 0x803c 0x8000
[08] 0x2e23 0x2000 1.2.643.2.2.19 (ГОСТ Р 34.10-2001)
[09] 0x2e49 0x2000 1.2.643.7.1.1.1.1 (ГОСТ Р 34.10-2012 256 бит)
[10] 0x2e3d 0x2000 1.2.643.7.1.1.1.2 (ГОСТ Р 34.10-2012 512 бит)
Cipher strengths: 256..256
Supported protocols: 0xa80:
Transport Layer Security 1.0 client side
Transport Layer Security 1.1 client side
Transport Layer Security 1.2 client side
dwProtocolMask: 0x800e2aaa
Protocol version: 3.3
ClientHello: RecordLayer: TLS, Len: 165
SessionId: (empty)
Cipher Suites: (c1 00) (c1 01) (c1 02) (ff 85) (00 81) (c0 30) (c0 2f) (c0 28) (c0 27) (c0 14) (c0 13) (00 9d) (00 9c) (00 3d) (00 3c) (00 35) (00 2f) (00 0a)
170 bytes of handshake data sent
1460 bytes of handshake data received
1460 bytes of handshake data received
2718 bytes of handshake data received
Server requested new credentials!

Trying to create new credential
Issuer 0: E=client@test.com, CN= ТЕСТ, OU=IT, O=IT, L=Moscow, S=Moscow, C=RU
Issuer 1: E=uc@roseltorg.ru, OGRN=1097746299353, INN=007707704692, C=RU, S=77 Москва, L=Москва, STREET="ул. Кожевническая, д. 14, стр. 5", OU=Удостоверяющий центр, O="АО ""ЕЭТП""", CN="АО ""ЕЭТП"""
Issuer 2: STREET="улица , дом 1", UnstructuredName="INNLE=742143224/KPP=7432141/OGRN=103423477", INNLE=7424224, E=info@ru, OGRN=1042314327, C=RU, S=77 Москва, L=Москва, O="АО """"", CN="АО """""
Issuer 3: E=dit@minsvyaz.ru, C=RU, S=77 Москва, L=г. Москва, STREET="улица Тверская, дом 7", O=Минкомсвязь России, OGRN=1047702026701, INN=007710474375, CN=Минкомсвязь России
Issuer 4: E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2
Issuers: 5, Length: 1261 bytes

Client certificate:
Subject: E=client@test.com, CN=ТЕСТ, OU=IT, O=IT, L=Moscow, S=Moscow, C=RU
Valid : 26.05.2022 14:37:01 - 26.08.2022 14:47:01 (UTC)
Issuer : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2
CPCSP: CryptoPro CSP license is expired or not yet valid.
(o) OK
OK

new schannel credential created
11 algorithms supported:
Aglid Class OID
[00] 0x661e 0x6000 1.2.643.2.2.21 (ГОСТ 28147-89)
[01] 0x6631 0x6000 1.2.643.7.1.1.5.2 (ГОСТ Р 34.12-2015 Кузнечик)
[02] 0x6630 0x6000 1.2.643.7.1.1.5.1 (ГОСТ Р 34.12-2015 Магма)
[03] 0x801e 0x8000 1.2.643.2.2.3 (ГОСТ Р 34.11/34.10-2001)
[04] 0x8021 0x8000 1.2.643.7.1.1.2.2 (ГОСТ Р 34.11-2012 256 бит)
[05] 0x801f 0x8000
[06] 0x803d 0x8000
[07] 0x803c 0x8000
[08] 0x2e23 0x2000 1.2.643.2.2.19 (ГОСТ Р 34.10-2001)
[09] 0x2e49 0x2000 1.2.643.7.1.1.1.1 (ГОСТ Р 34.10-2012 256 бит)
[10] 0x2e3d 0x2000 1.2.643.7.1.1.1.2 (ГОСТ Р 34.10-2012 512 бит)
Cipher strengths: 256..256
Supported protocols: 0xa80:
Transport Layer Security 1.0 client side
Transport Layer Security 1.1 client side
Transport Layer Security 1.2 client side
dwProtocolMask: 0x800e2aaa
**** Error 0xffffffff80090304 returned by InitializeSecurityContext (2)
../../../../CSPbuild/CSP/samples/csptest/WebClient.c:765:Error performing handshake.
Error 0x80090304: The Local Security Authority cannot be contacted
Total: SYS: 0.010 sec USR: 0.010 sec UTC: 3.030 sec
[ErrorCode: 0x80090304]


csptest -tlsc -server bend.ru -port 443 -v -nosave -user 7b9aa5fc636bf036f6b2a36d59b8fcacf4ee37c6

Цитата:

#0:
Subject: E=client@test.com, CN= ТЕСТ, OU=IT, O=IT, L=Moscow, S=Moscow, C=RU
Valid : 26.05.2022 14:37:01 - 26.08.2022 14:47:01 (UTC)
Issuer : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2


Client certificate:
Subject: E=client@test.com, CN=ТЕСТ, OU=IT, O=IT, L=Moscow, S=Moscow, C=RU
Valid : 26.05.2022 14:37:01 - 26.08.2022 14:47:01 (UTC)
Issuer : E=support@cryptopro.ru, C=RU, L=Moscow, O=CRYPTO-PRO LLC, CN=CRYPTO-PRO Test Center 2

(o) OK
OK
11 algorithms supported:
Aglid Class OID
[00] 0x661e 0x6000 1.2.643.2.2.21 (ГОСТ 28147-89)
[01] 0x6631 0x6000 1.2.643.7.1.1.5.2 (ГОСТ Р 34.12-2015 Кузнечик)
[02] 0x6630 0x6000 1.2.643.7.1.1.5.1 (ГОСТ Р 34.12-2015 Магма)
[03] 0x801e 0x8000 1.2.643.2.2.3 (ГОСТ Р 34.11/34.10-2001)
[04] 0x8021 0x8000 1.2.643.7.1.1.2.2 (ГОСТ Р 34.11-2012 256 бит)
[05] 0x801f 0x8000
[06] 0x803d 0x8000
[07] 0x803c 0x8000
[08] 0x2e23 0x2000 1.2.643.2.2.19 (ГОСТ Р 34.10-2001)
[09] 0x2e49 0x2000 1.2.643.7.1.1.1.1 (ГОСТ Р 34.10-2012 256 бит)
[10] 0x2e3d 0x2000 1.2.643.7.1.1.1.2 (ГОСТ Р 34.10-2012 512 бит)
Cipher strengths: 256..256
Supported protocols: 0xa80:
Transport Layer Security 1.0 client side
Transport Layer Security 1.1 client side
Transport Layer Security 1.2 client side
dwProtocolMask: 0x800e2aaa
Protocol version: 3.3
ClientHello: RecordLayer: TLS, Len: 113
SessionId: (empty)
Cipher Suites: (c1 00) (c1 01) (c1 02) (ff 85) (00 81)
118 bytes of handshake data sent
1460 bytes of handshake data received
1460 bytes of handshake data received
2718 bytes of handshake data received
**** Error 0xffffffff80090304 returned by InitializeSecurityContext (2)
../../../../CSPbuild/CSP/samples/csptest/WebClient.c:765:Error performing handshake.
Error 0x80090304: The Local Security Authority cannot be contacted
Total: SYS: 0.060 sec USR: 0.000 sec UTC: 2.060 sec
[ErrorCode: 0x80090304]

Отредактировано пользователем 1 июля 2022 г. 9:54:57(UTC)  | Причина: Не указана
Вверх
Offline Захар Тихонов  
#8 Оставлено : 1 июля 2022 г. 11:11:28(UTC)
Захар Тихонов

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 17.08.2015(UTC)
Сообщений: 3,384
Мужчина
Тонга
Откуда: Калининград

Сказал «Спасибо»: 41 раз
Поблагодарили: 600 раз в 576 постах
Раз серверный выпущен не на тестовом, то цепочка для него корректно установлена и CRL от всей цепочки доступны на сервере и клиенте?

Цитата:
Server certificate:
Subject: STREET="улица , дом 1", UnstructuredName="INNLE=77553423/KPP=88888888/OGRN=1111111111", INNLE=72222222, E=info@ru, OGRN=22222222222, C=RU, S=77 Москва, L=Москва, O="АО ""COMPANY""", CN="АО ""COMPANY"""
Valid : 27.05.2022 09:14:17 - 27.05.2023 09:24:17 (UTC)
Issuer : E=uc@roseltorg.ru, OGRN=1097746299353, INN=007707704692, C=RU, S=77 Москва, L=Москва, STREET="ул. Кожевническая, д. 14, стр. 5", OU=Удостоверяющий центр, O="АО ""ЕЭТП""", CN="АО ""ЕЭТП"""
PrivKey: 27.05.2022 09:14:16 - 27.05.2023 09:14:16 (UTC)
Техническую поддержку оказываем тут.
Наша база знаний.
Вверх
Offline two_oceans  
#9 Оставлено : 1 июля 2022 г. 11:50:21(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 398 раз в 367 постах
Добрый день. меня настораживает строка Issuer 0
Код:
Server requested new credentials!

Trying to create new credential
Issuer 0: E=client@test.com, CN= ТЕСТ, OU=IT, O=IT, L=Moscow, S=Moscow, C=RU
Как будто Ваш клиентский сертификат сервер присылает в качестве допустимого сертификата УЦ. Выглядит как этот же тестовый сертификат клиента поставили в какое-то их хранилищ УЦ на сервере. Так делать нежелательно, потому что это ломает построение цепочек.
Цитата:
CPCSP: CryptoPro CSP license is expired or not yet valid.
Тоже радостное сообщение.

Цитата:
SECPKG_ATTR_CIPHER_INFO: CipherSuite: c100, TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC

Ну а вообще, прекрасно видно, что без сертификата стороны договорились о Кузнечике гост-2015. При этом Вы выпускаете тестовый сертификат на УЦ с гост-2001. Меня бы это натолкнуло на мысль использовать гост поновее (другой тестовый УЦ).
Вверх
Offline newman22  
#10 Оставлено : 1 июля 2022 г. 12:25:17(UTC)
newman22

Статус: Новичок

Группы: Участники
Зарегистрирован: 30.05.2022(UTC)
Сообщений: 9

Поблагодарили: 1 раз в 1 постах
Автор: Захар Тихонов Перейти к цитате
Раз серверный выпущен не на тестовом, то цепочка для него корректно установлена и CRL от всей цепочки доступны на сервере и клиенте?

Цитата:
Server certificate:
Subject: STREET="улица , дом 1", UnstructuredName="INNLE=77553423/KPP=88888888/OGRN=1111111111", INNLE=72222222, E=info@ru, OGRN=22222222222, C=RU, S=77 Москва, L=Москва, O="АО ""COMPANY""", CN="АО ""COMPANY"""
Valid : 27.05.2022 09:14:17 - 27.05.2023 09:24:17 (UTC)
Issuer : E=uc@roseltorg.ru, OGRN=1097746299353, INN=007707704692, C=RU, S=77 Москва, L=Москва, STREET="ул. Кожевническая, д. 14, стр. 5", OU=Удостоверяющий центр, O="АО ""ЕЭТП""", CN="АО ""ЕЭТП"""
PrivKey: 27.05.2022 09:14:16 - 27.05.2023 09:14:16 (UTC)


С сервера не доступно. Но поставил CRL от корневого в mCA, от промежуточного в mCA. На клиенте доступ есть по сети но поставил еще руками.
Корневой установлен в mroot, промежуточный в mCA.

Еще вопрос, не отходя от темы.
Можно ли использовать сертификат у которого есть OID проверка подлинности сервера и проверка подлинности клиента, использовать на прокси для клиента как сертификат сервера, а для связи с бэкендом как клиентский?
Вверх
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
4 Страницы123>»
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2026, Yet Another Forum.NET