TLS (SSL) на windows server 2022 (нет ГОСТ шифров)

Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Error

2 Страницы12 >

TLS (SSL) на windows server 2022 (нет ГОСТ шифров)

Опции

Предыдущая тема Следующая тема

Андрей Патрик		#1 Оставлено : 5 июля 2024 г. 15:57:37(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 05.07.2024(UTC) Сообщений: 6 Откуда: Москва Сказал(а) «Спасибо»: 4 раз		Может кто сталкивался, имел подобный опыт. Имеем виртуальный windows server 2022, на нём КриптоПро CSP 5.0.13000 (серверная лицензия). При попытке с сервера создать TLS (SSL) соединение до ресурсов НБКИ (https://ssp.nbki.ru/qbch/), которые требуют использования ГОСТ шифров TLS_GOSTR341001_WITH_28147_CNT_IMIT (0x0081) или TLS_GOSTR341112_256_WITH_28147_CNT_IMIT (0xFF85) получаем ошибку "ssl3_get_client_hello:no shared cipher -- Too restrictive SSLCipherSuite". Если через wireshark посмотреть, что передается, то видно, что наша сторона предлагает на выбор 18 шифров, ГОСТовых среди них нет: Transport Layer Security TLSv1.2 Record Layer: Handshake Protocol: Client Hello Content Type: Handshake (22) Version: TLS 1.2 (0x0303) Length: 142 Handshake Protocol: Client Hello Handshake Type: Client Hello (1) Length: 138 Version: TLS 1.2 (0x0303) Random: 6686a1b656a088c2bb49772323ac2916e303879a8aa1857df99fc0b7dd1252a1 Session ID Length: 0 Cipher Suites Length: 36 Cipher Suites (18 suites) Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 (0xc028) Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014) Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (0xc027) Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 (0xc02c) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 (0xc02b) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 (0xc024) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 (0xc023) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009) Cipher Suite: TLS_DHE_DSS_WITH_AES_256_CBC_SHA256 (0x006a) Cipher Suite: TLS_DHE_DSS_WITH_AES_256_CBC_SHA (0x0038) Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA256 (0x0040) Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032) Cipher Suite: TLS_RSA_WITH_AES_256_CBC_SHA256 (0x003d) Cipher Suite: TLS_RSA_WITH_AES_256_CBC_SHA (0x0035) Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA256 (0x003c) Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA (0x002f) Compression Methods Length: 1 Compression Methods (1 method) Extensions Length: 61 Если сделать тоже самое например на Server 2008R2 + КриптоПро CSP 4.0, то там сразу предлагаются нужные шифры (самые верхние в списке) и всё работает. Transport Layer Security TLSv1 Record Layer: Handshake Protocol: Client Hello Content Type: Handshake (22) Version: TLS 1.0 (0x0301) Length: 102 Handshake Protocol: Client Hello Handshake Type: Client Hello (1) Length: 98 Version: TLS 1.0 (0x0301) Random: 6686a26f02f5a1ed962cc23deea470a803ed5def536de964837ff3c8f446292a Session ID Length: 0 Cipher Suites Length: 32 Cipher Suites (16 suites) Cipher Suite: Unknown (0xff85) Cipher Suite: TLS_GOSTR341001_WITH_28147_CNT_IMIT (0x0081) Cipher Suite: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA (0xc014) Cipher Suite: TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA (0xc013) Cipher Suite: TLS_DHE_RSA_WITH_AES_256_CBC_SHA (0x0039) Cipher Suite: TLS_DHE_RSA_WITH_AES_128_CBC_SHA (0x0033) Cipher Suite: TLS_RSA_WITH_AES_256_CBC_SHA (0x0035) Cipher Suite: TLS_RSA_WITH_AES_128_CBC_SHA (0x002f) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA (0xc00a) Cipher Suite: TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA (0xc009) Cipher Suite: TLS_DHE_DSS_WITH_AES_256_CBC_SHA (0x0038) Cipher Suite: TLS_DHE_DSS_WITH_AES_128_CBC_SHA (0x0032) Cipher Suite: TLS_RSA_WITH_3DES_EDE_CBC_SHA (0x000a) Cipher Suite: TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA (0x0013) Cipher Suite: TLS_RSA_WITH_RC4_128_SHA (0x0005) Cipher Suite: TLS_RSA_WITH_RC4_128_MD5 (0x0004) Compression Methods Length: 1 Compression Methods (1 method) Extensions Length: 25 По рекомендациям удалял КриптоПро 5, переустанавливал, утилиту cspclean использовал. Но такое ощущение, что всё равно КриптоПро CSP 5.0.13000 встает на Windows Server 2022 почему-то криво и нужные шифры не устанавливаются, или что-то такое. Политик GPO на отключение шифров нет. Может кто-нибудь сталкивался с подобным?


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»


	Wanna join the discussion?! Login to your Форум КриптоПро forum account, or Register a new forum account.

Андрей *		#2 Оставлено : 5 июля 2024 г. 16:41:58(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 13,340 Сказал «Спасибо»: 550 раз Поблагодарили: 2212 раз в 1727 постах		Здравствуйте. Приложите файлом (.txt) ветку из реестра: HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Cryptography\CurrentVersion\Parameters
		Техническую поддержку оказываем тут Наша база знаний
		WWW

Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей Патрик		#3 Оставлено : 5 июля 2024 г. 16:52:22(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 05.07.2024(UTC) Сообщений: 6 Откуда: Москва Сказал(а) «Спасибо»: 4 раз		Доброго вечера, вот ветка HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Crypto Pro\Cryptography\CurrentVersion\Parameters Parameters.txt (7kb) загружен 3 раз(а).


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей *		#4 Оставлено : 5 июля 2024 г. 17:08:51(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 13,340 Сказал «Спасибо»: 550 раз Поблагодарили: 2212 раз в 1727 постах		Приложите в таком же варианте эти ветки: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002 - тут должно быть пусто HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Cryptography\Configuration\Local\SSL\00010002 - тут должно быть много GOST в Functions
		Техническую поддержку оказываем тут Наша база знаний
		WWW

Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей Патрик		#5 Оставлено : 5 июля 2024 г. 17:13:32(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 05.07.2024(UTC) Сообщений: 6 Откуда: Москва Сказал(а) «Спасибо»: 4 раз		Вот, пожалуйста. 00010002.txt (4kb) загружен 3 раз(а). local-00010002.txt (10kb) загружен 2 раз(а).


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей *		#6 Оставлено : 5 июля 2024 г. 17:43:17(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 13,340 Сказал «Спасибо»: 550 раз Поблагодарили: 2212 раз в 1727 постах		как вариант: забэкапить ветку HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002 очистить параметр, перезагрузить сервер, проверить tls.
		Техническую поддержку оказываем тут Наша база знаний
		WWW
2 пользователей поблагодарили Андрей * за этот пост.		nickm оставлено 05.07.2024(UTC), Андрей Патрик оставлено 05.07.2024(UTC)
Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей Патрик		#7 Оставлено : 5 июля 2024 г. 20:21:38(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 05.07.2024(UTC) Сообщений: 6 Откуда: Москва Сказал(а) «Спасибо»: 4 раз		Ну что могу сказать, сразу спойлер - всё заработало! Удалил как вы посоветовали параметр из раздела, рестарт сервера. После через powershell запросил список шифров Код: `Get-TlsCipherSuite \| Format-Table -Property CipherSuite, Name` ГОСТовые добавились к списку, до этого их не было: CipherSuite Name ----------- ---- 4866 TLS_AES_256_GCM_SHA384 4865 TLS_AES_128_GCM_SHA256 0 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 49195 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 49200 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 49199 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 159 TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 158 TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 0 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 49187 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 49192 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 49191 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 49162 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA 49161 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA 49172 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 49171 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA 157 TLS_RSA_WITH_AES_256_GCM_SHA384 156 TLS_RSA_WITH_AES_128_GCM_SHA256 61 TLS_RSA_WITH_AES_256_CBC_SHA256 60 TLS_RSA_WITH_AES_128_CBC_SHA256 53 TLS_RSA_WITH_AES_256_CBC_SHA 47 TLS_RSA_WITH_AES_128_CBC_SHA 10 TLS_RSA_WITH_3DES_EDE_CBC_SHA 59 TLS_RSA_WITH_NULL_SHA256 2 TLS_RSA_WITH_NULL_SHA 0 TLS_PSK_WITH_AES_256_GCM_SHA384 168 TLS_PSK_WITH_AES_128_GCM_SHA256 175 TLS_PSK_WITH_AES_256_CBC_SHA384 174 TLS_PSK_WITH_AES_128_CBC_SHA256 177 TLS_PSK_WITH_NULL_SHA384 176 TLS_PSK_WITH_NULL_SHA256 0 TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC 49409 TLS_GOSTR341112_256_WITH_MAGMA_CTR_OMAC 0 TLS_GOSTR341112_256_WITH_28147_CNT_IMIT_IANA 65413 TLS_GOSTR341112_256_WITH_28147_CNT_IMIT 129 TLS_GOSTR341001_WITH_28147_CNT_IMIT Так же перестала регистрироваться бесконечная ошибка (каждые 30 секунд) Schannel в логах windows\system: "A fatal error occurred while creating a TLS client credential. The internal error state is 10013. The SSPI client process is SYSTEM (PID: 4)." Ну само собой Credit Registry успешно отправило запрос в НБКИ и получила ответ. Какой будет вердикт, что это была за проблема такая, для истории так сказать, может ещё кому пригодится? Может есть смысл ещё что-то сделать, типа переустановить КриптоПро ?


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей *		#8 Оставлено : 5 июля 2024 г. 20:35:17(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 13,340 Сказал «Спасибо»: 550 раз Поблагодарили: 2212 раз в 1727 постах		Автор: Андрей Патрик Ну что могу сказать, сразу спойлер - всё заработало! Удалил как вы посоветовали параметр из раздела, рестарт сервера. После через powershell запросил список шифров Код: `Get-TlsCipherSuite \| Format-Table -Property CipherSuite, Name` ГОСТовые добавились к списку, до этого их не было: CipherSuite Name ----------- ---- 4866 TLS_AES_256_GCM_SHA384 4865 TLS_AES_128_GCM_SHA256 0 TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 49195 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 49200 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 49199 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 159 TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 158 TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 0 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384 49187 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256 49192 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 49191 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 49162 TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA 49161 TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA 49172 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 49171 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA 157 TLS_RSA_WITH_AES_256_GCM_SHA384 156 TLS_RSA_WITH_AES_128_GCM_SHA256 61 TLS_RSA_WITH_AES_256_CBC_SHA256 60 TLS_RSA_WITH_AES_128_CBC_SHA256 53 TLS_RSA_WITH_AES_256_CBC_SHA 47 TLS_RSA_WITH_AES_128_CBC_SHA 10 TLS_RSA_WITH_3DES_EDE_CBC_SHA 59 TLS_RSA_WITH_NULL_SHA256 2 TLS_RSA_WITH_NULL_SHA 0 TLS_PSK_WITH_AES_256_GCM_SHA384 168 TLS_PSK_WITH_AES_128_GCM_SHA256 175 TLS_PSK_WITH_AES_256_CBC_SHA384 174 TLS_PSK_WITH_AES_128_CBC_SHA256 177 TLS_PSK_WITH_NULL_SHA384 176 TLS_PSK_WITH_NULL_SHA256 0 TLS_GOSTR341112_256_WITH_KUZNYECHIK_CTR_OMAC 49409 TLS_GOSTR341112_256_WITH_MAGMA_CTR_OMAC 0 TLS_GOSTR341112_256_WITH_28147_CNT_IMIT_IANA 65413 TLS_GOSTR341112_256_WITH_28147_CNT_IMIT 129 TLS_GOSTR341001_WITH_28147_CNT_IMIT Так же перестала регистрироваться бесконечная ошибка (каждые 30 секунд) Schannel в логах windows\system: "A fatal error occurred while creating a TLS client credential. The internal error state is 10013. The SSPI client process is SYSTEM (PID: 4)." Ну само собой Credit Registry успешно отправило запрос в НБКИ и получила ответ. Какой будет вердикт, что это была за проблема такая, для истории так сказать, может ещё кому пригодится? Может есть смысл ещё что-то сделать, типа переустановить КриптоПро ? локальные политики\софт? либо удалять данные, либо вписывать алгоритмы.
		Техническую поддержку оказываем тут Наша база знаний
		WWW
1 пользователь поблагодарил Андрей * за этот пост.		Андрей Патрик оставлено 05.07.2024(UTC)
Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей Патрик		#9 Оставлено : 5 июля 2024 г. 20:48:37(UTC)
Статус: Новичок Группы: Участники Зарегистрирован: 05.07.2024(UTC) Сообщений: 6 Откуда: Москва Сказал(а) «Спасибо»: 4 раз		Локальные политики точно нет. Софт тоже маловероятно, серверу всего полгода, там Kaspersky Security Center 13 (сервер), 1С Предприятие 8 (сервер), ПП "Дельта" от ЦБ и CreditRegistry (на чем и случился затык). А вам Андрей огромное человеческое спасибо! Три дня с поддержками НБКИ и CreditRegistry голову ломали


Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

Андрей *		#10 Оставлено : 5 июля 2024 г. 23:33:19(UTC)
Статус: Сотрудник Группы: Участники Зарегистрирован: 26.07.2011(UTC) Сообщений: 13,340 Сказал «Спасибо»: 550 раз Поблагодарили: 2212 раз в 1727 постах		Автор: Андрей Патрик Локальные политики точно нет. Софт тоже маловероятно, серверу всего полгода, там Kaspersky Security Center 13 (сервер), 1С Предприятие 8 (сервер), ПП "Дельта" от ЦБ и CreditRegistry (на чем и случился затык). А вам Андрей огромное человеческое спасибо! Три дня с поддержками НБКИ и CreditRegistry голову ломали Цитата: Key Name: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL\00010002 Last Write Time: 11.12.2023 - 15:24 Здесь видим, что давно были вписаны эти алгоритмы (или изначально или утилита какая). Name: Functions Type: REG_SZ Data: TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P521, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384, TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P521, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384, TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521, TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384, TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P521, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384, TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P521, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384, TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA256, TLS_DHE_DSS_WITH_AES_256_CBC_SHA, TLS_DHE_DSS_WITH_AES_128_CBC_SHA256, TLS_DHE_DSS_WITH_AES_128_CBC_SHA, TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA, TLS_RSA_WITH_AES_256_CBC_SHA256, TLS_RSA_WITH_AES_256_CBC_SHA, TLS_RSA_WITH_AES_128_CBC_SHA256, TLS_RSA_WITH_AES_128_CBC_SHA, TLS_RSA_WITH_3DES_EDE_CBC_SHA Отредактировано пользователем 5 июля 2024 г. 23:46:02(UTC) \| Причина: Не указана
		Техническую поддержку оказываем тут Наша база знаний
		WWW
1 пользователь поблагодарил Андрей * за этот пост.		Андрей Патрик оставлено 08.07.2024(UTC)
Профиль пользователя Просмотр всех сообщений пользователя Просмотр «Спасибо»

RSS Лента

Atom Лента

Пользователи, просматривающие эту тему
Guest

2 Страницы12 >

Быстрый переход

Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Important Information: The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies. More Details Close