Статус: Новичок
Группы: Участники
Зарегистрирован: 23.01.2017(UTC)
Сообщений: 9
Сказал(а) «Спасибо»: 1 раз
|
Добрый день.
CSP (Type:75) v3.9.8010 KC1 Release Ver:3.9.8495 OS:Linux CPU:AMD64 FastCode:READY:SSSE3
Для подключения использую curl который идёт с csp (/opt/cprocsp/bin/amd64/curl)
Каждый час с ~20 до ~40 минут на запросы к серверам, требующих сертификаты (один из них с ключом):
curl: (58) Problem with the local SSL certificate
в auth.log появляется:
libssp: AddToMessageLog CryptoPro TLS. Error 0x80090327 validating server *** certificate: An unknown error occurred while processing the certificate.
При подключении к серверу который не требует сертификата, ошибки не возникает.
|
|
|
|
|
|
Статус: Сотрудник
Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC) Сообщений: 6,391  Откуда: КРИПТО-ПРО Сказал «Спасибо»: 37 раз
Поблагодарили: 715 раз в 620 постах
|
Скорее всего связано с нюансами сертификата сервера. Как часто выпускается CRL? |
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.01.2017(UTC)
Сообщений: 9
Сказал(а) «Спасибо»: 1 раз
|
Не знаю.
Но это проявляется на двух серверах, к которым я подключаюсь.
Сервера между собой не связаны.
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.01.2017(UTC)
Сообщений: 9
Сказал(а) «Спасибо»: 1 раз
|
Доброе утро.
до 10 утра по мск всё работало штатно, а сейчас опять curl: (58) Problem with the local SSL certificate
Пожалуйста помогите.
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 02.11.2017(UTC) Сообщений: 48 Сказал «Спасибо»: 7 раз
Поблагодарили: 23 раз в 21 постах
|
Очень похоже на проблему CPCSP-7930, которую мы починили в 3.9 только недавно, 7-го ноября, и это пока не попало ни в какой релиз 3.9. Есть временное решение, позволяющее обойти эту проблему.
В файле конфигурации /etc/opt/cprocsp/config.ini или config64.ini есть секция, отвечающая за параметры кэша сертификатов и CRL, который был повинен в CPCSP-7930. По умолчанию она выглядит так:
[Capilite\cache_settings]
# Параметры CryptRetriveObjectByURL
max_elements=100
fresh_time=3600
Первый параметр задаёт максимальное количество объектов в кэше. Если выставить его в 0, то недостающие в хранилищах данные при построении и проверке цепочки всегда будут подгружаться из сети, кэш использоваться не будет. Это медленно, зато должно работать всегда.
Второй параметр задаёт максимальное время жизни объектов в кэше в секундах (по умолчанию -- 1 час). Если выставить его в 0, то результат должен быть таким же, как и при занулении предыдущего параметра.
Для надёжности стоит попробовать занулить оба параметра и посмотреть, что произойдёт. Высока вероятность, что это избавит вас от данной проблемы! |
|
 1 пользователь поблагодарил Зубов Иван за этот пост.
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.01.2017(UTC)
Сообщений: 9
Сказал(а) «Спасибо»: 1 раз
|
Вроде помогло.
Буду отслеживать в течении дня.
Спасибо!
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.01.2017(UTC)
Сообщений: 9
Сказал(а) «Спасибо»: 1 раз
|
Добрый день и с наступающим.
Вот уже как час эта ошибка возникает с
max_elements=0
fresh_time=0
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 02.11.2017(UTC) Сообщений: 48 Сказал «Спасибо»: 7 раз
Поблагодарили: 23 раз в 21 постах
|
Здравствуйте!
Чтобы лучше понять, что происходит, вы можете объявить переменную окружения CP_PRINT_CHAIN_DETAIL=1 и посмотреть на вывод утилит.
Навскидку есть такая смелая мысль: при отключённом кэше и проверке цепочки мы всегда лазим в сеть за данными (в частности, за CRL и сертификатами). Если не удаётся подключиться к какому-то серверу, то тут уж мы не при делах -- для успешной проверки веб-ресурсы УЦ всегда должны быть доступны. Включённый и правильно работающий кэш мог бы иногда смягчить, загладить эту проблему, но не принципиально устранить её. |
|
|
|
|
|
|
Статус: Новичок
Группы: Участники
Зарегистрирован: 23.01.2017(UTC)
Сообщений: 9
Сказал(а) «Спасибо»: 1 раз
|
Автор: ivan_zubov  Здравствуйте!
Чтобы лучше понять, что происходит, вы можете объявить переменную окружения CP_PRINT_CHAIN_DETAIL=1 и посмотреть на вывод утилит.
Навскидку есть такая смелая мысль: при отключённом кэше и проверке цепочки мы всегда лазим в сеть за данными (в частности, за CRL и сертификатами). Если не удаётся подключиться к какому-то серверу, то тут уж мы не при делах -- для успешной проверки веб-ресурсы УЦ всегда должны быть доступны. Включённый и правильно работающий кэш мог бы иногда смягчить, загладить эту проблему, но не принципиально устранить её. добавить в config64.ini или при запросе чере /opt/cprocsp/bin/amd64/curl?
|
|
|
|
|
|
Статус: Сотрудник
Группы: Участники
Зарегистрирован: 02.11.2017(UTC) Сообщений: 48 Сказал «Спасибо»: 7 раз
Поблагодарили: 23 раз в 21 постах
|
Добавить переменную окружения. На *nix-системах при использовании командной оболочки bash это делается так: запускаете консоль, запускаете в ней команду export CP_PRINT_CHAIN_DETAIL=1, а затем в той же самой консоли, в той же самой сессии запускаете вашу команду/скрипт. Voila! Статья "Переменная среды" на ВикипедииОтредактировано пользователем 28 декабря 2017 г. 10:19:49(UTC)
| Причина: форматирование ссылки |
|
|
|
|
|
|
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Important Information:
The Форум КриптоПро uses cookies. By continuing to browse this site, you are agreeing to our use of cookies.
More Details
Close
