На тривиальные вопросы обычно уже есть ответ. Постарайтесь использовать форум для решения нерешённых задач.

Почему nginx запускается от root, коротко: http://unix.stackexchang...x-starts-process-as-root

Смотрите в сторону nginx прокси, который только принимает TLS-соединения и распределяет потоки дальше.

Этот подход позволяет минимизировать зависимости сервисов от особенностей друг друга.

Подскажите смогу ли я использовать данный модель из ruby через OpenSSL ?

Здравствуйте!

Не получается задействовать одновременно ГОСТ и RSA в nginx (linux redhat/centos 7). Не работает ни в 3.9, ни в 4.0.

Точнее, вообще не получается задействовать RSA при включённом в openssl.cnf gost_capi - даже если убрать ГОСТ сертификат и шифр из конфига nginx и оставить 2 стандартные строчки с RSAшным сертификатом+ключом - соединение установить невозможно. Лучшее чего я добиваюсь - это

4146502016:error:140943FC:SSL routines:ssl3_read_bytes:sslv3 alert bad record mac:../ssl/record/rec_layer_s3.c:1385:SSL alert number 20

при попытке сделать openssl s_client -connect localhost:8159 -tls1 -cipher AES256-SHA.

При этом, если просто ОТКЛЮЧИТЬ gost_capi в openssl.cnf, та же конфигурация работает. Такая шляпа что со стандартным RHEL'овским OpenSSL 1.0.1, что с вашим cpopenssl (1.0.2).

Ответьте пожалуйста, что делать?

gost_capi брал из состава дистрибутива криптопро 3.9 и 4.0 для linux amd64 в rpm.

Engine gost_capi в cpopenssl подключен был сразу после установки, также проверял, отдельно подключая его в обычный openssl.

RSA перестает работать даже с простейшей конфигурацией nginx из 2-х строчек ssl_certificate xxx.pem; ssl_certificate_key xxx.key;

При подключенном gost_capi даже перестает работать генерация сертификата в openssl, например самоподписанного

/opt/cprocsp/cp-openssl/bin/amd64/openssl req -days 3650 -x509 -new -nodes -keyout test-rsa2.key -out test-rsa2.pem

Если при этом убрать gost_capi в /var/opt/cprocsp/cp-openssl/openssl.cnf - начинает работать

nginx обычный, не патченый. Из репозитория с офиц сайта nginx. Гост (без rsa) через gost_capi в нем работает нормально.

Я все это гонял на чистых виртуалках, так что воспроизводится просто - по сути, надо скачать образ виртуалки centos 7 amd64 и просто поставить пакеты криптопро 3.9 или 4.0. Дальше, вне зависимости от kc1 или kc2, команда выше (генерация rsa серта) уже работать не будет

Отредактировано пользователем 18 мая 2017 г. 11:01:42(UTC)  | Причина: Не указана