Csináltam egy ilyet: class Http_C (HttpProxy): def config (self): HttpProxy.config (self) self.transparent_mode = 1 class HttpS_C (PsslProxy): def config (self): self.client_need_ssl = 1 self.server_need_ssl = 1 self.client_cert_file = "/etc/zorp/host242/cert.pem" self.client_key_file = "/etc/zorp/host242/key.pem" self.stack_proxy = Http_C Csináltam certet: openssl req -config openssl.conf -new -x509 -keyout key.pem -out cert.pem -days 3650 Erre az eredmény: firewall:/etc/zorp/host242# openssl s_client -connect xxx.xxx.xxx.xxx:443 CONNECTED(00000003) depth=0 /C=HU/L=Budapest/O=xxx/CN=xxx/emailAddress=xxx verify error:num=18:self signed certificate verify return:1 depth=0 /C=HU/L=Budapest/O=xxx/CN=xxx/emailAddress=xxx verify return:1 6973:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake failure:s3_pkt.c:1052:SSL alert number 40 6973:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake failure:s23_lib.c:226: f A log vége: Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Reading channel; fd='23', count='5' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): data line: 16 03 01 00 07 ..... Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Reading channel; fd='23', count='7' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): data line: 0B 00 00 03 00 00 00 ....... Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Writing channel; fd='23', count='7' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): data line: 15 03 01 00 02 02 28 ......( Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): SSL handshake failed on the client side; error='error:140890C7:SSL routines:lib(20):SSL3_GET _CLIENT_CERTIFICATE:func(137):peer did not return a certificate:reason(199)' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): calling __destroy__() event; Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): Proxy destroy; class='HttpS_C', module='pssl' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Closing channel; fd='23' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/server): Shutdown channel; fd='26', mode='2' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/server): Closing channel; fd='26' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): Proxy ending; class='HttpS_C', module='pssl' Mit rontok el? Bónuszkérdés: Ezeket a reasonxxxx és alertnumberxxx ssl hibaüzeneteket hogyan lehet dekódolni? -- Gabor HALASZ <halasz.g@freemail.hu>
On Tue, Nov 18, 2003 at 11:07:31AM +0100, Gabor HALASZ wrote:
A log vége:
Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Reading channel; fd='23', count='5' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): data line: 16 03 01 00 07 ..... Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Reading channel; fd='23', count='7' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): data line: 0B 00 00 03 00 00 00 ....... Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Writing channel; fd='23', count='7' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): data line: 15 03 01 00 02 02 28 ......( Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): SSL handshake failed on the client side; error='error:140890C7:SSL routines:lib(20):SSL3_GET _CLIENT_CERTIFICATE:func(137):peer did not return a certificate:reason(199)' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): calling __destroy__() event; Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): Proxy destroy; class='HttpS_C', module='pssl' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/client): Closing channel; fd='23' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/server): Shutdown channel; fd='26', mode='2' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl/server): Closing channel; fd='26' Nov 18 10:55:41 firewall Host242[19285]: (firewall@xxx.hu/HttpS_S:0/pssl): Proxy ending; class='HttpS_C', module='pssl'
Mit rontok el?
az SSL proxy default 2.0-ban mar az, hogy kotelezoen elvarja a peertol a certificate-t, ami kliens oldalon valoszinuleg nem kell neked. probald meg kikapcsolni "self.client_verify_type = PSSL_VERIFY_NONE" sorral.
Bónuszkérdés:
Ezeket a reasonxxxx és alertnumberxxx ssl hibaüzeneteket hogyan lehet dekódolni?
ott van a hibauzenetben az is. a 199-es reason number a "peer did not return a certificate" jelentessel bir, az alert number 40 pedig az altalanos "handshake faliora" uzenetet jelenti. (ez utobbi minden olyan esetet jelent, amikor a szerver komponens leutalja a kliens altal prezentalt kulcsot) Annyi tortent, hogy a Zorp nem fogadta a klienst (mert "peer did not return a certificate") es ezt kozolte egy SSL alert-tel. Nyilvan a pontos okot nem arulja el a kliensnek. -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1
Balazs Scheidler wrote:
az SSL proxy default 2.0-ban mar az, hogy kotelezoen elvarja a peertol a certificate-t, ami kliens oldalon valoszinuleg nem kell neked.
Biztosan nem kell.
probald meg kikapcsolni "self.client_verify_type = PSSL_VERIFY_NONE" sorral.
PSSL_VERIFY_NONE is not defined, viszont az Pssl.py elején SSL_VERIFY_NONEként definiált 0 értékkel, azzal jónak tűnik.
Annyi tortent, hogy a Zorp nem fogadta a klienst (mert "peer did not return a certificate") es ezt kozolte egy SSL alert-tel. Nyilvan a pontos okot nem arulja el a kliensnek.
Nekem elárulhatná a logban :-D -- Gabor HALASZ <halasz.g@freemail.hu>
On Tue, Nov 18, 2003 at 12:34:22PM +0100, Gabor Halasz wrote:
Balazs Scheidler wrote: PSSL_VERIFY_NONE is not defined, viszont az Pssl.py elején SSL_VERIFY_NONEként definiált 0 értékkel, azzal jónak tűnik.
Annyi tortent, hogy a Zorp nem fogadta a klienst (mert "peer did not return a certificate") es ezt kozolte egy SSL alert-tel. Nyilvan a pontos okot nem arulja el a kliensnek.
Nekem elárulhatná a logban :-D
a logban elarulja (peer did not return a certificate). a kliens kap egy semmitmondo alertet (handshake faliora) -- Bazsi PGP info: KeyID 9AF8D0A9 Fingerprint CD27 CFB0 802C 0944 9CFD 804E C82C 8EB1
participants (3)
-
Balazs Scheidler
-
Gabor Halasz
-
Gabor HALASZ