IO ::ソケット:: SSLクライアントのサーバー証明書のチェック

IO::Socket::SSLクライアントと接続するときにサーバー証明書を使用します。IO ::ソケット:: SSLクライアントのサーバー証明書のチェック

私がやったことは

ssl_client.pl -d10 --ca /tmp/localhost.crt localhost:443 
DEBUG: .../IO/Socket/SSL.pm:2757: new ctx 17132992 
DEBUG: .../IO/Socket/SSL.pm:643: socket not yet connected 
DEBUG: .../IO/Socket/SSL.pm:645: socket connected 
DEBUG: .../IO/Socket/SSL.pm:667: ssl handshake not started 
DEBUG: .../IO/Socket/SSL.pm:700: using SNI with hostname localhost 
DEBUG: .../IO/Socket/SSL.pm:735: request OCSP stapling 
DEBUG: .../IO/Socket/SSL.pm:769: call Net::SSLeay::connect 
DEBUG: .../IO/Socket/SSL.pm:2658: did not get stapled OCSP response 
DEBUG: .../IO/Socket/SSL.pm:2611: ok=0 [0] /C=--/ST=SomeState/L=SomeCity/O=SomeOrganization/OU=SomeOrganizationalUnit/CN=bigger2/[email protected]/C=--/ST=SomeState/L=SomeCity/O=SomeOrganization/OU=SomeOrganizationalUnit/CN=bigger2/[email protected] 
DEBUG: .../IO/Socket/SSL.pm:772: done Net::SSLeay::connect -> -1 
DEBUG: .../IO/Socket/SSL.pm:775: SSL connect attempt failed 

DEBUG: .../IO/Socket/SSL.pm:775: local error: SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed 
DEBUG: .../IO/Socket/SSL.pm:778: fatal SSL error: SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed 
DEBUG: ...inux/IO/Socket.pm:49: ignoring less severe local error 'IO::Socket::INET configuration failed', keep 'SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed' 
DEBUG: .../IO/Socket/SSL.pm:2779: free ctx 17132992 open=17132992 
DEBUG: .../IO/Socket/SSL.pm:2784: free ctx 17132992 callback 
DEBUG: .../IO/Socket/SSL.pm:2791: OK free ctx 17132992 
failed to connect to localhost:443: ,SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed at ./ssl_client.pl line 52.

これは動作しません、最初の証明書を抽出することである

openssl s_client -showcerts -connect 127.0.0.1:443 </dev/null 2>/dev/null|openssl x509 -outform PEM >/tmp/localhost.crt

、その後、例フォルダからssl_client.plを使用して接続

期待どおりにローカルに保存された証明書を使用してサーバーを正しく検証する

出典

2016-08-04 Сухой27

@SteffenUllrich私はあなたがすでに何が間違っているかを知っていると信じています。 '：）' –

彼はあなたのことを聞くことができません;） – simbabque

私はcertが 'localhost'のためだと思っています。適切なドメインを使用する必要があります。 – ikegami

証明書は自己署名（すなわち、それ自体が署名した）、それはCAではないですが：それは証明書の発行者として使用することが許可されていないCAではありませんので

X509v3 extensions: 
     X509v3 Basic Constraints: 
      CA:FALSE

と理論的にはそれ自体に署名するために使用されることさえできない。

これは少なくともOpenSSLで実装されているロジックです（したがってNet :: SSLeay、IO :: Socket :: SSL）。 NSSのような他の実装は、サーバ証明書自体が明示的に信頼されているかどうかをチェックするため、おそらくそのような証明書で動作するようです。このようなチェックは、IO :: Socket :: SSL（または-CAfile、-CApath引数がopenssl s_client）のSSL_ca *オプションを使用して行われた、信頼できるCAによって署名されているかどうかをチェックすることとは異なります。

SSL_fingerprintオプションを使用して、自己署名、期限切れ、取り消し、またはIO :: Socket :: SSLで実行できることに関係なく、明示的に特定の証明書を信頼します。

この場合のIO :: Socket :: SSLのデバッグは、この場合のロジックがOpenSSLで実装されているため、この場合、多くの面で役に立ちません。このデバッグ文を検証コールバックから呼び出され

DEBUG: ... ok=0 [0] .../CN=bigger2/[email protected] .../CN=bigger2/[email protected]

：それは間違って起こっているいくつかの小さなインジケータがあります。 ok=0 [0]は、このコールバックがレベル証明書レベル0でok=0でコールされたことを示します。つまり、OpenSSLのビルトイン検証ではこの証明書が有効であるとはみなされませんでした。

出典

2016-08-05 06:01:26

さて、SSL_fingerprintはそのようなサーバーを確認する唯一の方法ですか？ –

@Сухой27：その最も簡単な方法。独自の検証コールバックを作成し、直接証明書を比較することもできます。 –

IO ::ソケット:: SSLクライアントのサーバー証明書のチェック

答えて

関連する問題