Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

2 Страницы<12
Опции
К последнему сообщению К первому непрочитанному
Offline nickm  
#11 Оставлено : 14 ноября 2024 г. 10:08:22(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,590

Сказал(а) «Спасибо»: 607 раз
Поблагодарили: 451 раз в 427 постах
-

Отредактировано пользователем 14 ноября 2024 г. 10:21:38(UTC)  | Причина: Не указана

Offline nickm  
#12 Оставлено : 14 ноября 2024 г. 10:21:28(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,590

Сказал(а) «Спасибо»: 607 раз
Поблагодарили: 451 раз в 427 постах
Автор: Марченко Михаил Перейти к цитате
Посмотрел в syslog. В изобилии ошибки вида:
<capi20>DownloadFromNetwork!() UrlRetriever failed (CURLcode: 12029 URL: http://tlsca2012.cryptop...5a75d6e038753325704.crt)
<capi20>DownloadFromNetwork!() UrlRetriever failed (CURLcode: 12029 URL: http://cdp.cryptopro.ru/ra/aia/tlsca.p7b)
похоже что-то не знает о существовании прокси сервера.

Об этом было сказано выше:
Автор: nickm Перейти к цитате
cURL из состава дистрибутива СКЗИ, которому требуется указывать прокси в системных переменных


Автор: Марченко Михаил Перейти к цитате
Затем прописал его ещё и в /etc/environment

Перезагрузку выполняли?

Автор: Марченко Михаил Перейти к цитате
Видимо где-то ещё нужно прописать прокси? Или я как-то его неправильно прописываю?

Скорее всего прописываете правильно, возможно, что прокси не верно авторизует пользователя/ неверно обрабатывает запрос;

Автор: Марченко Михаил Перейти к цитате
Но ведь множество других сайтов и http и https открываются и на них спокойно всё работает

Сайты открываются через браузер, а списки и сертификаты подгружаются с помощью вышеупомянутой утилиты. Т.е. Вам следует понимать, что это не одно и тоже/ различный сценарий.
Offline Марченко Михаил  
#13 Оставлено : 14 ноября 2024 г. 20:22:06(UTC)
Марченко Михаил

Статус: Новичок

Группы: Участники
Зарегистрирован: 13.11.2024(UTC)
Сообщений: 8
Российская Федерация
Откуда: Ростов-на-Дону

Итог для моей конфигурации:
Автор: Марченко Михаил Перейти к цитате
Установлена операционная система Astra Linux 1.7.5.16, Chromium Gost 120, входящий в состав ОС, КриптоПро CSP 5R3 5.0.13000 с лицензией конечно, Плагин версии 2.0.15000.
Выход в интернет компьютера организован через прокси с аутентификацией через домен ALD Pro 2.3.0
Корневые, Промежуточные сертификаты загружены. Списки отзыва тоже загружены.
Какие угодно сайты открываются, госуслуги, 1С и т.д. всё работает, только всё, что *.cryptopro.ru говорит, что ERR_TIMED_OUT


Уважаемый nickm (только не нашел как вставить ссылку на ник:)), нашел ваше общение с другими участниками форума по аналогичному вопросу, что очень помогло и вам спасибо!

Так вот, вся проблема в том, что при открытии сайта плагин и(или) csp хотели много чего проверить на счёт сертификатов и списков отзыва, имеющихся на компьютере. Однако при этом не умели делать аутентификацию на прокси сервере, которая у меня организована через домен ALD Pro, что по сути FreeIPA. В логах прокси (squid) я всё это нашел.
При всём этом, под испытуемым пользователем, в консоли команды вида:
Код:
/opt/cprocsp/bin/amd64/curl http://cdp.cryptopro.ru/ra/aia/tlsca.p7b -o /dev/null

прекрасно проходили, однако из браузера при открытии сайта скачивание подобных файлов вызывается как-то по другому. Настройки прокси при этом этим процессам видны, раз я на прокси вижу обращения, но авторизации нет.

Пока сделал временное решение - на моём прокси разрешил скачивать файлы с расширениями сертификатов и списков отзыва без авторизации.
Дальше попробую таки найти кто и как из браузера вызывает запрос get на скачивание сертификатов и списков, но не уверен, что в итоге этим займусь :)

Возможно кому-то и пригодится это сообщение :)

PS: если подскажет кто, как вставлять ссылки на ник пользователя, буду благодарен :)

Отредактировано пользователем 14 ноября 2024 г. 20:25:23(UTC)  | Причина: Не указана

Offline nickm  
#14 Оставлено : 14 ноября 2024 г. 21:21:26(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,590

Сказал(а) «Спасибо»: 607 раз
Поблагодарили: 451 раз в 427 постах
Автор: Марченко Михаил Перейти к цитате
Пока сделал временное решение - на моём прокси разрешил скачивать файлы с расширениями сертификатов и списков отзыва без авторизации.
Дальше попробую таки найти кто и как из браузера вызывает запрос get на скачивание сертификатов и списков, но не уверен, что в итоге этим займусь :)

У Вас имеется отличная возможность отладить работу curl через прокси с авторизацией, изучив методы авторизации и настроив конфигурационный файл .curlrc

Да, это займёт время, да, надо будет погрузиться в вопрос, но полученные знания и результат будут полезными.
Offline Марченко Михаил  
#15 Оставлено : 14 ноября 2024 г. 21:39:34(UTC)
Марченко Михаил

Статус: Новичок

Группы: Участники
Зарегистрирован: 13.11.2024(UTC)
Сообщений: 8
Российская Федерация
Откуда: Ростов-на-Дону

Автор: nickm Перейти к цитате
У Вас имеется отличная возможность отладить работу curl через прокси с авторизацией, изучив методы авторизации и настроив конфигурационный файл .curlrc

Да, это займёт время, да, надо будет погрузиться в вопрос, но полученные знания и результат будут полезными.


Направление понял, но для начала нужно выяснить что и как посылает get из браузера, ведь обычный curl в консоли всё прекрасно видит и понимает. А вот для этого потребуется много поиска и чтения :) если имеете опыт в подобных расследованиях - подскажите как и через что можно делать trace процесса. Я нашел только средство sctrace, но так и не получилось им воспользоваться, недочитал недонаучился :)
Offline nickm  
#16 Оставлено : 15 ноября 2024 г. 6:48:53(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,590

Сказал(а) «Спасибо»: 607 раз
Поблагодарили: 451 раз в 427 постах
Автор: Марченко Михаил Перейти к цитате
Направление понял, но для начала нужно выяснить что и как посылает get из браузера, ведь обычный curl в консоли всё прекрасно видит и понимает.

В первую очередь, Я бы задался следующим вопросом - "зачем Мне пришлось задавать параметры прокси в трёх различных местах!?".

С Ваших слов используются:

  • параметр при запуске браузера;

  • переменные командного интерпретатора;

  • системные переменные.

Вообще, в "Astra Linux" имеется апплет fly-kcmshell5, который будучи запущенный с параметром proxy позволит указать настройки этого самого прокси.

Другими словами, следует начать с чистого листа, удалить все уже имеющиеся настройки прокси, настроить через апплет, перезагрузиться, проверить работу прикладного ПО, если ошибка с curl останется, указать настройки в системных переменных, перезагрузиться, проверить работу (возможно, что правильным решением окажется указание прокси только в системных переменных, а в апплете указать отсылки на эти самые переменные, см. инструкцию по ссылке).

Как вариант попробовать проверить работу с конфигурационным файлом .curlrc, в котором явно прописать данные авторизации.

После, на основании полученной информации сделать вывод.

Автор: Марченко Михаил Перейти к цитате
если имеете опыт в подобных расследованиях - подскажите как и через что можно делать trace процесса. Я нашел только средство sctrace, но так и не получилось им воспользоваться

Скорее всего Вы имели ввиду strace, но, полагаю, он мало чем поможет в этом случае.

Иногда, полезным оказывается запуск приложения в консоли, в которую могут выводиться некоторые ошибки.

Ошибки доступа к сертификатам, спискам отзыва и пр., по прежнему отслеживайте в системном журнале, как было сказано выше.

Отредактировано пользователем 15 ноября 2024 г. 6:59:49(UTC)  | Причина: Не указана

Offline nickm  
#17 Оставлено : 15 ноября 2024 г. 8:53:42(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,590

Сказал(а) «Спасибо»: 607 раз
Поблагодарили: 451 раз в 427 постах
Автор: Марченко Михаил Перейти к цитате
Итог для моей конфигурации:

Установлена операционная система Astra Linux 1.7.5.16, Chromium Gost 120, входящий в состав ОС, КриптоПро CSP 5R3 5.0.13000 с лицензией конечно, Плагин версии 2.0.15000.

Немного офф-топа:

Насколько понял правильно, в версии "1.7.6" от отдельного пакета указанного браузера отказались и начали патчить оригинальный "Chromium" (в "1.7.6.11", на сег. день "128.0.6613.119" версия), а для запуска от имени "Chromium-Gost", используют ярлык с user-agent'ом.

Как по Мне верной дорогой пошли, и ранее отмечал, что в той же "ROSA Linux" изначально патчили этот самый "Chromium", что сильно удобно при осуществлении поддержки.
Offline Марченко Михаил  
#18 Оставлено : 15 ноября 2024 г. 12:06:03(UTC)
Марченко Михаил

Статус: Новичок

Группы: Участники
Зарегистрирован: 13.11.2024(UTC)
Сообщений: 8
Российская Федерация
Откуда: Ростов-на-Дону

Автор: nickm Перейти к цитате
В первую очередь, Я бы задался следующим вопросом - "зачем Мне пришлось задавать параметры прокси в трёх различных местах!?".

С Ваших слов используются:

  • параметр при запуске браузера;

  • переменные командного интерпретатора;

  • системные переменные.

Все ранее сделанные настройки из всех файлов убрал. Сделал в /etc/profile.d sh файл с настройками прокси. Это единственное место. Браузер хромирум их подхватывает, поэтому убрал и из него.
Автор: nickm Перейти к цитате
Вообще, в "Astra Linux" имеется апплет fly-kcmshell5, который будучи запущенный с параметром proxy позволит указать настройки этого самого прокси.

Основная цель всех действий - пользователь не должен совершать никаких действий, включил компьютер, авторизовался и работает. Не должен он никуда заходить что-то где-то включать.
Автор: nickm Перейти к цитате

Другими словами, следует начать с чистого листа, удалить все уже имеющиеся настройки прокси

Так и сделал.
Настройки прокси прописал в sh файл в /etc/profile.d
Для apt сделал конфиг /etc/apt/apt.conf в котором сказал ему, что на серверы репозиториев ходить нужно через DIRECT, так как они в локальной сети находятся.
На прокси разрешил скачивать файлы с сертификатами и списками отзыва без авторизации.
Это состояние меня на текущий момент устраивает. Сайт криптопро открывается, сертификаты и списки отзывов автоматически подтягиваются.
Offline nickm  
#19 Оставлено : 15 ноября 2024 г. 12:56:54(UTC)
nickm

Статус: Активный участник

Группы: Участники
Зарегистрирован: 31.05.2016(UTC)
Сообщений: 2,590

Сказал(а) «Спасибо»: 607 раз
Поблагодарили: 451 раз в 427 постах
Автор: Марченко Михаил Перейти к цитате
На прокси разрешил скачивать файлы с сертификатами и списками отзыва без авторизации.
Это состояние меня на текущий момент устраивает. Сайт криптопро открывается, сертификаты и списки отзывов автоматически подтягиваются.

Ну и отлично, Вы выработали решение удовлетворяющее Вас на данный момент.
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest (2)
2 Страницы<12
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.