Начиная с версии 1.11 nginx умеет из коробки подключать разные сертификаты.
Подключили ГОСТ и RSA сертификат для тестирования и обнаружили одну проблему.
В настройках nginx у нас стоит ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
Соответственно при RSA сертификате используется TLSv1.2, тут все в порядке.
Пробуем подключиться через IE11 и в дебаге видим как IE11 пытается подключиться по TLSv1.2, но затем автоматически понижает до TLSv1.0 и соединение успешно происходит, тут тоже все в порядке.
Но при попытке открыть через КриптоПро Fox просто происходит ошибка о невозможности подключения. В дебаге видим, что была попытка подключения только по TLSv1.2.
Никакие попытки не увенчались успехом, пока не отключили в nginx TLSv1.1 и TLSv1.2.
Все бы ничего, но хотелось бы чтобы RSA сертификаты были с TLSv1.2.
Можно как-то сделать логику работы как у IE11?

Установлен КриптоПро CSP 4.0.

КриптоПро работает только по TLS 1.0
Нужно либо сделать логику как у IE, т.е. пытаться сначала установить соединение по TLS 1.2, а потом уже понижать
Либо проапдейтить КриптоПро чтобы он работал сразу по TLS 1.2.

Поддержка КриптоПро Fox не самая приоритетная задача - - какие используете версии ОС, браузера, КриптоПро CSP и плагина?

Здравствуйте.

ГОСТ TLS поддерживает еще один продукт: Chromium + ГОСТ

Аналогично КриптоПРО FOX

Почему то КриптоПро FOX когда запрашивает клиентский сертификат, он не выводит в списке сертификаты с промежуточными центрами сертификации (с длинными цепочками), из-за чего нельзя предъявить сертификат квалифицированной ЭП. Как это исправить?
И можно ссылочку на установочные файлы Chromium + ГОСТ ?

Отредактировано пользователем 21 марта 2017 г. 18:12:56(UTC)  | Причина: Не указана

ОС Windows Vista.
Чтобы такой клиентский сертификат появлялся в списке КриптоПро Fox каждому пользователю интернета придется ежегодно устанавливать сертификат промежуточного УЦ, выпустившего клиентский сертификат, в контейнер Доверенные корневые ЦС.
Это надо бы исправить, т.к. достаточно доверия к корневому сертификату цепочки сертификатов - сертификату ГУЦ. MSIE предлагает такой сертификат без установки доверия к промежуточным сертификатам, но в Windows есть другая проблема - чтобы прошла проверка клиентского сертификата клиенту требуется установка сертификата УЦ, выпустившего клиентский сертификат, в контейнер Промежуточные ЦС.
Дык, какую ссылку давать клиентам на дистрибутивы Хромиума ГОСТ?