Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error
39 Страницы«<7891011>»
Информация Настройка nginx для работы с сертификатами ГОСТ 2012 года
Опции
К последнему сообщению К первому непрочитанному
Предыдущая тема Следующая тема
Offline Дмитрий Пичулин  
#81 Оставлено : 20 июня 2018 г. 17:17:44(UTC)
pd

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 16.09.2010(UTC)
Сообщений: 1,449
Откуда: КРИПТО-ПРО

Сказал(а) «Спасибо»: 31 раз
Поблагодарили: 417 раз в 308 постах
Автор: Pechenko Vladimir Перейти к цитате
Тема начиналась с поста:

Автор: Ефремов Степан Перейти к цитате
Мы начали тестирование nginx, работающего с ENGINE gostengy.
...

Спасибо, поправим шапку.
Знания в базе знаний, поддержка в техподдержке
Вверх
WWW
Offline Pechenko Vladimir  
#82 Оставлено : 20 июня 2018 г. 17:31:45(UTC)
Pechenko Vladimir

Статус: Участник

Группы: Участники
Зарегистрирован: 06.07.2016(UTC)
Сообщений: 11
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Поблагодарили: 1 раз в 1 постах
При тестировании, обратил внимание на такую ситуацию.
Если у клиента стоит CSP < 4.0, то при попытке обратиться к nginx из IE, HTTPS соединение сбрасывается.
В логе nginx при этом:
Код:

2018/06/20 14:20:18 [crit] 28433#28433: *41 SSL_do_handshake() failed (SSL: error:1417D18C:SSL routines:tls_process_client_hello:version too low) while SSL handshaking, client: 172.16.1.2, server: 0.0.0.0:443


Понимаю, что все срабатывает очевидно и штатно.
Возможно ли на уровне настроек nginx, сделать так, чтобы клиенты, которые не поддерживают ГОСТ 2012 (CSP < 4.0), работали по RSA?
Вверх
Offline Дмитрий Пичулин  
#83 Оставлено : 23 июня 2018 г. 1:29:00(UTC)
pd

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 16.09.2010(UTC)
Сообщений: 1,449
Откуда: КРИПТО-ПРО

Сказал(а) «Спасибо»: 31 раз
Поблагодарили: 417 раз в 308 постах
Автор: Pechenko Vladimir Перейти к цитате
При тестировании, обратил внимание на такую ситуацию.
Если у клиента стоит CSP < 4.0, то при попытке обратиться к nginx из IE, HTTPS соединение сбрасывается.
В логе nginx при этом:
Код:

2018/06/20 14:20:18 [crit] 28433#28433: *41 SSL_do_handshake() failed (SSL: error:1417D18C:SSL routines:tls_process_client_hello:version too low) while SSL handshaking, client: 172.16.1.2, server: 0.0.0.0:443


Понимаю, что все срабатывает очевидно и штатно.
Возможно ли на уровне настроек nginx, сделать так, чтобы клиенты, которые не поддерживают ГОСТ 2012 (CSP < 4.0), работали по RSA?

По идее, можно попробовать убрать "GOST2001-GOST89-GOST89", оставив только "GOST2012-GOST8912-GOST8912:HIGH".
Знания в базе знаний, поддержка в техподдержке
Вверх
WWW
Offline Pechenko Vladimir  
#84 Оставлено : 23 июня 2018 г. 5:36:08(UTC)
Pechenko Vladimir

Статус: Участник

Группы: Участники
Зарегистрирован: 06.07.2016(UTC)
Сообщений: 11
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Поблагодарили: 1 раз в 1 постах
Автор: Дмитрий Пичулин Перейти к цитате
Автор: Pechenko Vladimir Перейти к цитате
При тестировании, обратил внимание на такую ситуацию.
Если у клиента стоит CSP < 4.0, то при попытке обратиться к nginx из IE, HTTPS соединение сбрасывается.
В логе nginx при этом:
Код:

2018/06/20 14:20:18 [crit] 28433#28433: *41 SSL_do_handshake() failed (SSL: error:1417D18C:SSL routines:tls_process_client_hello:version too low) while SSL handshaking, client: 172.16.1.2, server: 0.0.0.0:443


Понимаю, что все срабатывает очевидно и штатно.
Возможно ли на уровне настроек nginx, сделать так, чтобы клиенты, которые не поддерживают ГОСТ 2012 (CSP < 4.0), работали по RSA?

По идее, можно попробовать убрать "GOST2001-GOST89-GOST89", оставив только "GOST2012-GOST8912-GOST8912:HIGH".


Не помогло.
На клиенте CSP 3.9
Вверх
Offline Дмитрий Пичулин  
#85 Оставлено : 23 июня 2018 г. 14:34:46(UTC)
pd

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 16.09.2010(UTC)
Сообщений: 1,449
Откуда: КРИПТО-ПРО

Сказал(а) «Спасибо»: 31 раз
Поблагодарили: 417 раз в 308 постах
Автор: Pechenko Vladimir Перейти к цитате
Автор: Дмитрий Пичулин Перейти к цитате
Автор: Pechenko Vladimir Перейти к цитате
При тестировании, обратил внимание на такую ситуацию.
Если у клиента стоит CSP < 4.0, то при попытке обратиться к nginx из IE, HTTPS соединение сбрасывается.
В логе nginx при этом:
Код:

2018/06/20 14:20:18 [crit] 28433#28433: *41 SSL_do_handshake() failed (SSL: error:1417D18C:SSL routines:tls_process_client_hello:version too low) while SSL handshaking, client: 172.16.1.2, server: 0.0.0.0:443


Понимаю, что все срабатывает очевидно и штатно.
Возможно ли на уровне настроек nginx, сделать так, чтобы клиенты, которые не поддерживают ГОСТ 2012 (CSP < 4.0), работали по RSA?

По идее, можно попробовать убрать "GOST2001-GOST89-GOST89", оставив только "GOST2012-GOST8912-GOST8912:HIGH".


Не помогло.
На клиенте CSP 3.9

И TLS 1.0 придётся разрешить. А возможно и ничего больше TLS 1.0.

Знания в базе знаний, поддержка в техподдержке
Вверх
WWW
Offline Pechenko Vladimir  
#86 Оставлено : 24 июня 2018 г. 5:38:21(UTC)
Pechenko Vladimir

Статус: Участник

Группы: Участники
Зарегистрирован: 06.07.2016(UTC)
Сообщений: 11
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Поблагодарили: 1 раз в 1 постах
Автор: Дмитрий Пичулин Перейти к цитате

...
И TLS 1.0 придётся разрешить. А возможно и ничего больше TLS 1.0.


Не получается. На клиенте с CSP 3.9 та же проблема.
Сейчас такая конфигурация SSL в nginx:
Код:

...
    server {
        listen       443 ssl;
        server_name  localhost;

        ssl_certificate      /etc/nginx/srvtest.pem;
        ssl_certificate_key  engine:gostengy:srvtest;
        ssl_certificate      srvtestRSA.pem;
        ssl_certificate_key  srvtestRSA.key;
        ssl_session_cache    shared:SSL:1m;
        ssl_session_timeout  5m;
        ssl_protocols TLSv1;
        ssl_ciphers GOST2012-GOST8912-GOST8912:HIGH;
        ssl_prefer_server_ciphers  on;

        location / {
            root   html;
            index  index.html index.htm;
        }
        
        error_page   500 502 503 504  /50x.html;
        location = /50x.html {
            root   html;
        }
}
...
Вверх
Offline Дмитрий Пичулин  
#87 Оставлено : 26 июня 2018 г. 17:35:31(UTC)
pd

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 16.09.2010(UTC)
Сообщений: 1,449
Откуда: КРИПТО-ПРО

Сказал(а) «Спасибо»: 31 раз
Поблагодарили: 417 раз в 308 постах
Автор: Pechenko Vladimir Перейти к цитате
Не получается. На клиенте с CSP 3.9 та же проблема.

Не очень понятно почему, возможно что-то не учитываем в алгоритме одновременной работы на уровне openssl или nginx.

Ваш вариант задачи интересный, нужны эксперименты с настройками, постараемся воспроизвести и посмотреть в чём дело.
Знания в базе знаний, поддержка в техподдержке
Вверх
WWW
Offline Дмитрий Пичулин  
#88 Оставлено : 2 июля 2018 г. 18:25:41(UTC)
pd

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 16.09.2010(UTC)
Сообщений: 1,449
Откуда: КРИПТО-ПРО

Сказал(а) «Спасибо»: 31 раз
Поблагодарили: 417 раз в 308 постах
Автор: Дмитрий Пичулин Перейти к цитате
Автор: Pechenko Vladimir Перейти к цитате
Не получается. На клиенте с CSP 3.9 та же проблема.

Не очень понятно почему, возможно что-то не учитываем в алгоритме одновременной работы на уровне openssl или nginx.

Ваш вариант задачи интересный, нужны эксперименты с настройками, постараемся воспроизвести и посмотреть в чём дело.

Проверили на Windows 7 + CSP 3.9, у нас работает согласно предложенной логике, то есть, для сертификатов 2012 года открывается RSA вариант.

Изучили исходники, где встречается SSL_R_VERSION_TOO_LOW, похоже ваш клиент пытается установить соединение с версией меньшей TLS 1.0, возможно это SSL 3.0, тогда в ssl_protocols необходимо указать SSLv3, но делать это крайне нежелательно, так как протокол SSL 3.0 устарел.

Если ошибка не в этом, ждём дамп трафика с проблемой.
Знания в базе знаний, поддержка в техподдержке
Вверх
WWW
Offline Pechenko Vladimir  
#89 Оставлено : 3 июля 2018 г. 11:35:23(UTC)
Pechenko Vladimir

Статус: Участник

Группы: Участники
Зарегистрирован: 06.07.2016(UTC)
Сообщений: 11
Российская Федерация

Сказал(а) «Спасибо»: 1 раз
Поблагодарили: 1 раз в 1 постах
Автор: Дмитрий Пичулин Перейти к цитате
Автор: Дмитрий Пичулин Перейти к цитате
Автор: Pechenko Vladimir Перейти к цитате
Не получается. На клиенте с CSP 3.9 та же проблема.

Не очень понятно почему, возможно что-то не учитываем в алгоритме одновременной работы на уровне openssl или nginx.

Ваш вариант задачи интересный, нужны эксперименты с настройками, постараемся воспроизвести и посмотреть в чём дело.

Проверили на Windows 7 + CSP 3.9, у нас работает согласно предложенной логике, то есть, для сертификатов 2012 года открывается RSA вариант.

Изучили исходники, где встречается SSL_R_VERSION_TOO_LOW, похоже ваш клиент пытается установить соединение с версией меньшей TLS 1.0, возможно это SSL 3.0, тогда в ssl_protocols необходимо указать SSLv3, но делать это крайне нежелательно, так как протокол SSL 3.0 устарел.

Если ошибка не в этом, ждём дамп трафика с проблемой.


Да, я не указал ОС, в которой проблема.
Это Windows XP(SP3), CSP 3.9, IE 8

Сделал дамп через ssldump:


Пробовал так же указывать SSLv3 в ssl_protocols.
Вот ошибка:
Вверх
Offline Дмитрий Пичулин  
#90 Оставлено : 3 июля 2018 г. 11:40:50(UTC)
pd

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 16.09.2010(UTC)
Сообщений: 1,449
Откуда: КРИПТО-ПРО

Сказал(а) «Спасибо»: 31 раз
Поблагодарили: 417 раз в 308 постах
Автор: Pechenko Vladimir Перейти к цитате
Да, я не указал ОС, в которой проблема.
Это Windows XP(SP3), CSP 3.9, IE 8

Сделал дамп через ssldump:


Пробовал так же указывать SSLv3 в ssl_protocols.
Вот ошибка:

Ваша система устарела, с большой вероятностью она не сможет открыть не только целевой nginx, а вообще любой современный https сайт.

Пробуйте использовать вместо набора HIGH, поддерживаемые сюиты из вашего дампа.

Знания в базе знаний, поддержка в техподдержке
Вверх
WWW
RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
39 Страницы«<7891011>»
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.

Privacy Policy | Форум YAF.NET | YAF.NET © 2003-2024, Yet Another Forum.NET