Ключевое слово в защите информации
КЛЮЧЕВОЕ СЛОВО
в защите информации
Получить ГОСТ TLS-сертификат для домена (SSL-сертификат)
Добро пожаловать, Гость! Чтобы использовать все возможности Вход или Регистрация.

Уведомление

Icon
Error

2 Страницы12>
Опции
К последнему сообщению К первому непрочитанному
Offline ElenaZubareva  
#1 Оставлено : 14 ноября 2018 г. 16:15:07(UTC)
ElenaZubareva

Статус: Новичок

Группы: Участники
Зарегистрирован: 05.06.2017(UTC)
Сообщений: 6
Откуда: Россия

Здравствуйте!
В связи с переходом на новый ГОСТ шифрования, на сервере приложений был обновлен КриптоПро CSP c версии 3.6.7777 до версии 4.0.9944. В результате обновления перестали работать приложения в браузере КриптоПро Фокс. При открытии страницы со стороны клиента выходит ошибка:
Secure Connection Failed
Error code: SEC_ERROR_NO_MODULE
В IE такой проблемы не наблюдается.
Также было замечено некоторое время назад, что перестал работать форум КриптоПро с браузера КриптоПро Фокс. Ошибка та же самая:
Secure Connection Failed
Error code: SEC_ERROR_NO_MODULE

В чем может быть проблема? Brick wall

ОС - Windows Server 2008 R2 Standart
Версия IIS - 7.5.7600.16385
Версия КриптоПро CSP на сервере - 4.0.9944
Версия КриптоПро CSP на клиенте - 4.0.9944
Версия КриптоПро Фокс - 45.1.2
Offline two_oceans  
#2 Оставлено : 15 ноября 2018 г. 7:22:10(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 394 раз в 366 постах
Вам нужно внимательно прочитать на той странице, с которой скачивали КриптоПро Фокс информацию о его требованиях. А именно что требуется установить КриптоПро CSP до установки КриптоПро Фокс. Порядок в данном случае важен, так как КриптоПро Фокс запоминает расположение библиотек CSP.

Вывод: после почти любой операции изменения КриптоПро CSP потребуется переустановка КриптоПро Фокса. Обновление с версии 3.6 до 4.0 очень существенное изменение КриптоПро CSP и переустановка КриптоПро Фокс обязательна. После переустановки восстановится работа с сайтами по гост-2001. Тем не менее мне не удалось "заставить" именно КриптоПро Фокс работать по гост-2012 несмотря на csp версии 4.0.

По поводу форума - есть вариант очистить историю посещений и сессию (закрыть все открытые вкладки), затем ввести правильный адрес форума криптопро, начинающийся с http вместо https Если не очищать историю, то фокс автоматически заменяет http на https пока есть хоть одна похожая ссылка в истории (история предыдущих адресов во вкладке также учитывается).

Отредактировано пользователем 15 ноября 2018 г. 7:28:59(UTC)  | Причина: добавлено про форум

Offline ElenaZubareva  
#3 Оставлено : 15 ноября 2018 г. 8:46:14(UTC)
ElenaZubareva

Статус: Новичок

Группы: Участники
Зарегистрирован: 05.06.2017(UTC)
Сообщений: 6
Откуда: Россия

Цитата:
Вам нужно внимательно прочитать на той странице, с которой скачивали КриптоПро Фокс информацию о его требованиях. А именно что требуется установить КриптоПро CSP до установки КриптоПро Фокс. Порядок в данном случае важен, так как КриптоПро Фокс запоминает расположение библиотек CSP.

Вывод: после почти любой операции изменения КриптоПро CSP потребуется переустановка КриптоПро Фокса. Обновление с версии 3.6 до 4.0 очень существенное изменение КриптоПро CSP и переустановка КриптоПро Фокс обязательна. После переустановки восстановится работа с сайтами по гост-2001. Тем не менее мне не удалось "заставить" именно КриптоПро Фокс работать по гост-2012 несмотря на csp версии 4.0.

По поводу форума - есть вариант очистить историю посещений и сессию (закрыть все открытые вкладки), затем ввести правильный адрес форума криптопро, начинающийся с http вместо https Если не очищать историю, то фокс автоматически заменяет http на https пока есть хоть одна похожая ссылка в истории (история предыдущих адресов во вкладке также учитывается).


Вся информация была подробно изучена. К сожалению, ни одно из вышеперечисленных действий не помогло. Ни обновление КриптоПро CSP, ни обновление КриптоПро Фокс не помогли решить проблему.
Работа форума была протестирована на нескольких рабочих местах. Ни на одном рабочем месте, где стоит КриптоПро CSP 4.0 и КриптоПро Фокс 45 версии форум не работает. На рабочих местах, где не стоит КриптоПро CSP проблем в работе форума через браузер КриптоПро Фокс замечено не было.

Offline Александр Лавник  
#4 Оставлено : 15 ноября 2018 г. 12:50:13(UTC)
Александр Лавник

Статус: Сотрудник

Группы: Участники
Зарегистрирован: 30.06.2016(UTC)
Сообщений: 3,383
Мужчина
Российская Федерация

Сказал «Спасибо»: 53 раз
Поблагодарили: 776 раз в 718 постах
Автор: ElenaZubareva Перейти к цитате
Цитата:
Вам нужно внимательно прочитать на той странице, с которой скачивали КриптоПро Фокс информацию о его требованиях. А именно что требуется установить КриптоПро CSP до установки КриптоПро Фокс. Порядок в данном случае важен, так как КриптоПро Фокс запоминает расположение библиотек CSP.

Вывод: после почти любой операции изменения КриптоПро CSP потребуется переустановка КриптоПро Фокса. Обновление с версии 3.6 до 4.0 очень существенное изменение КриптоПро CSP и переустановка КриптоПро Фокс обязательна. После переустановки восстановится работа с сайтами по гост-2001. Тем не менее мне не удалось "заставить" именно КриптоПро Фокс работать по гост-2012 несмотря на csp версии 4.0.

По поводу форума - есть вариант очистить историю посещений и сессию (закрыть все открытые вкладки), затем ввести правильный адрес форума криптопро, начинающийся с http вместо https Если не очищать историю, то фокс автоматически заменяет http на https пока есть хоть одна похожая ссылка в истории (история предыдущих адресов во вкладке также учитывается).


Вся информация была подробно изучена. К сожалению, ни одно из вышеперечисленных действий не помогло. Ни обновление КриптоПро CSP, ни обновление КриптоПро Фокс не помогли решить проблему.
Работа форума была протестирована на нескольких рабочих местах. Ни на одном рабочем месте, где стоит КриптоПро CSP 4.0 и КриптоПро Фокс 45 версии форум не работает. На рабочих местах, где не стоит КриптоПро CSP проблем в работе форума через браузер КриптоПро Фокс замечено не было.


Обратите внимание, что на нашем сайте (и на форуме в том числе) используется ГОСТ или RSA сертификат, в зависимости от браузера:

те браузеры, в которых есть поддержка ГОСТ TLS (Internet Explorer, Edge, КриптоПро Fox, Chromium Gost и т.п.), используют ГОСТ сертификат;

те браузеры, в которых нет поддержки ГОСТ TLS (Google Chrome, Mozilla Firefox, Safari и т.п.), используют RSA сертификат.

А так как КриптоПро Fox не может работать по TLS 1.2 с ГОСТ TLS, то для корректной работы с нашим сайтом (и с форумом в частности) необходимо сделать следующее.
Техническую поддержку оказываем тут
Наша база знаний
thanks 1 пользователь поблагодарил Александр Лавник за этот пост.
two_oceans оставлено 15.11.2018(UTC)
Offline two_oceans  
#5 Оставлено : 15 ноября 2018 г. 12:57:56(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 394 раз в 366 постах
Автор: ElenaZubareva Перейти к цитате
ни обновление КриптоПро Фокс не помогли решить проблему
Удалить КриптоПро фокс и установить заново после установки криптопро csp. При чем здесь обновление? Обновление КриптоПро Фоксов всегда показывает что установлена самая новая версия и не работает.

По поводу форума TLS это конечно хорошо, но все дело в том, что форум прекрасно работает по http и не содержит секретной информации - не понимаю зачем городить огород с TLS. Остается только пропускать ссылки от пользователей которые зашли по TLS и линуют в сообщениях ссылки с https, так как движок не различает протокол в ссылках на форум в сообщении. Вот и сейчас ссылка на меры как зайти по TLS указана с протоколом https.

Отредактировано пользователем 15 ноября 2018 г. 13:09:01(UTC)  | Причина: Не указана

Offline Максим Коллегин  
#6 Оставлено : 15 ноября 2018 г. 15:18:15(UTC)
Максим Коллегин

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC)
Сообщений: 6,377
Мужчина
Откуда: КРИПТО-ПРО

Сказал «Спасибо»: 32 раз
Поблагодарили: 706 раз в 614 постах
Предлагаю переводить пользователей на chromium-gost\Яндекс-Браузер или Спутник, поддержка КриптоПро Fox давно прекращена и возобновление пока не планируется.
Знания в базе знаний, поддержка в техподдержке
Offline two_oceans  
#7 Оставлено : 16 ноября 2018 г. 13:27:40(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 394 раз в 366 постах
Автор: Максим Коллегин Перейти к цитате
Предлагаю переводить пользователей на chromium-gost\Яндекс-Браузер или Спутник, поддержка КриптоПро Fox давно прекращена и возобновление пока не планируется.
1. К сожалению, у нас есть необходимость работать в системе "Смарт-Роут", а у нее есть весьма специфическое требование чтобы браузер поддерживал возможность размещения оффлайн базы данных на случай сбоев соединения. Скажу честно, при сбое соединения оффлай база данных никак не помогает, но на браузерах без данной поддержки система вообще не работает. Из относительно новых браузеров данную функцию поддерживает только КриптоПро Фокс до 38 версии включительно (ну соответвующие версии мозиллы тоже, но они склонны самопроизвольно обновляться), в версии 45 функция уже не работает. Поэтому полностью отказаться от КриптоПро Фокса 38 для нас невозможно, все равно он где-то будет в фоне висеть.

2. Вы на полном серьезе советуете chromium-gost? В целом, я совершенно согласен что надо переходить на новые технологии, но почему-то очень часто вместо новых технологий лишь растут системные требования. Расскажу свою историю.


В Файерфоксе (примерно 57-60 версии) проблему изящно обошли установив в настройках новой версии движка переключатель ограничивающий число дочерних процессов, я поставил 2 дочерних и все работает, достаточно быстро и не поглощая всю доступную оперативную память. Поэтому пока аналогичный переключатель не сделают в chromium-gost, Яндекс браузере и Спутнике, они не являются с моей точки зрения приемлемыми вариантами для перехода.

Отредактировано пользователем 16 ноября 2018 г. 13:34:43(UTC)  | Причина: Не указана

Offline Максим Коллегин  
#8 Оставлено : 16 ноября 2018 г. 17:05:32(UTC)
Максим Коллегин

Статус: Сотрудник

Группы: Администраторы
Зарегистрирован: 12.12.2007(UTC)
Сообщений: 6,377
Мужчина
Откуда: КРИПТО-ПРО

Сказал «Спасибо»: 32 раз
Поблагодарили: 706 раз в 614 постах
Мы код chromium не модифицируем, кроме добавления альтернативной реализации tls, таковы уж современные браузеры(
Знания в базе знаний, поддержка в техподдержке
Offline basid  
#9 Оставлено : 16 ноября 2018 г. 17:52:39(UTC)
basid

Статус: Активный участник

Группы: Участники
Зарегистрирован: 21.11.2010(UTC)
Сообщений: 1,042

Сказал(а) «Спасибо»: 7 раз
Поблагодарили: 141 раз в 127 постах
Автор: two_oceans Перейти к цитате
К сожалению, у нас есть необходимость работать в системе "Смарт-Роут", а у нее есть весьма специфическое требование чтобы браузер поддерживал возможность размещения оффлайн базы данных на случай сбоев соединения.
Странный у вас какой-то Smart-Route (если речь о шлюзе к СМЭВ) - на прошлой работе использовались самые разные браузеры и Chrome/Yandex, вроде, ничем не выделялись.
С устойчивостью - да, проблемы, но мы более-менее решили их, решая проблемы защищённого канала до оператора СМЭВ.
Offline two_oceans  
#10 Оставлено : 21 ноября 2018 г. 10:23:47(UTC)
two_oceans

Статус: Эксперт

Группы: Участники
Зарегистрирован: 05.03.2015(UTC)
Сообщений: 1,602
Российская Федерация
Откуда: Иркутская область

Сказал(а) «Спасибо»: 110 раз
Поблагодарили: 394 раз в 366 постах
Автор: basid Перейти к цитате
Автор: two_oceans Перейти к цитате
К сожалению, у нас есть необходимость работать в системе "Смарт-Роут", а у нее есть весьма специфическое требование чтобы браузер поддерживал возможность размещения оффлайн базы данных на случай сбоев соединения.
Странный у вас какой-то Smart-Route (если речь о шлюзе к СМЭВ) - на прошлой работе использовались самые разные браузеры и Chrome/Yandex, вроде, ничем не выделялись. С устойчивостью - да, проблемы, но мы более-менее решили их, решая проблемы защищённого канала до оператора СМЭВ.
Да, речь о пользовательском интерфейсе информационной системы регионального органа ИКТ. Шлюзом сам по себе Смарт-Роут назвать сложно, но да шлюз есть где-то дальше по цепочке.

Не подскажете, на той "прошлой работе" были преимущественно windows xp? Действительно, старые версии Хрома поддерживали эту возможность и система "Смарт-Роут" работала в Хроме. Хотя не скажу что работала хорошо из-за спонтанных обновлений хрома и частых глюков с кэшами браузера, приложений, Джавы. Однако с какого-то момента "Смарт-Роут" просто перестал работать в новых версиях Хрома, как и в новых версиях мозиллы. По времени это было примерно с момента когда убрали обновление Хрома для windows xp, поэтому на xp действительно до сих пор работает в Хроме, но их уже осталось немного. Причину отказа в новых версиях я до конца не выяснял, "по-быстрому" перенастроил рабочие места через КриптоПро фокс 38.


Поэтому идеальным был бы вариант как у мозиллы ESR или Криптопро Фокса - браузер определенной версии без возможности автоматического перехода на другую версию.
Цитата:
Мы код chromium не модифицируем, кроме добавления альтернативной реализации tls, таковы уж современные браузеры(
Очень жаль. Похоже все идет к тому, что надо все же сделать свою ветку хромиума и настроить ее как мне нужно (вернуть фишечку с оффлайн базами, добавить ограничение по памяти до физического количества оперативной памяти и ограничение количества дочерних процессов, улучшить закладки, выкинуть соцсети, скриншоты и т.п.).

Отредактировано пользователем 21 ноября 2018 г. 10:56:26(UTC)  | Причина: Не указана

RSS Лента  Atom Лента
Пользователи, просматривающие эту тему
Guest
2 Страницы12>
Быстрый переход  
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.