Connessione tramite https a un server con un certificato firmato da una CA Ho creato

Question

Ho un ambiente di prova che utilizza Ruby per guidare un server su una connessione https. Poiché le ultime versioni di Ruby rifiutano di connettersi a un server https con un certificato non valido (vedere this earlier question of mine) e vorrei iniziare a utilizzare una versione più recente di Ruby, sto tentando di impostare un certificato valido.

Ho creato un certificato CA da utilizzare (ci sono più server in fase di test, quindi questo sembra il modo più semplice), e l'ho usato con successo per firmare un nuovo certificato che è stato installato su un server e viene utilizzato. Ho aggiunto il certificato CA all'archivio del browser e questo (il browser) ora si connetterà al server senza reclami. Quindi sono sicuro che i miei certificati siano validi e impostati correttamente.

So che Ruby non utilizza lo stesso negozio del browser. Ho utilizzato il file CA disponibile here per testare la connessione ad altri server (pubblici) (impostato utilizzando il metodo Net::HTTP#ca_file=) e anche questo funziona.

Quello che non riesco a far funzionare è Ruby che si connette al mio server usando il mio certificato. Ho provato vari modi di puntandolo verso il mio certificato (tra cui aggiungendo il mio certificato nel file linkato sopra) e si dà sempre lo stesso errore:

SSL_connect SYSCALL returned=5 errno=0 state=SSLv2/v3 read server hello A (OpenSSL::SSL::SSLError) 

Che cosa devo fare per convincere Rubino ad accettare il mio certificato e connettersi al mio server?

Il codice che sto usando è:

require 'net/https' 

uri = URI.parse("https://hostname/index.html") 
http = Net::HTTP.new(uri.host, uri.port) 
http.use_ssl = true 
http.verify_mode = OpenSSL::SSL::VERIFY_PEER 
http.ca_file = "My CA cert file" 
request = Net::HTTP::Get.new(uri.path) 
response = http.request(request) 

Sto assumendo questo è sbagliato in qualche modo. Quello che voglio sapere è, cosa dovrei fare per usare il mio certificato CA?

Answer 1

Suppongo che al Tomcat non piaccia la versione del protocollo che Ruby tenta di negoziare. Ruby utilizza SSLv23 per impostazione predefinita, ma ho sentito altri casi in cui questo era un problema per i server Web basati su Java. Il messaggio di errore che stai ricevendo indica che l'handshake ha esito negativo durante l'impostazione della connessione e tenta di leggere la risposta del server. Prova ad aggiungere o

http.ssl_version = :TLSv1 

o

http.ssl_version = :SSLv3 

e vedere se funziona già.

Se ciò non risolve il problema, sarebbe molto interessante vedere perché il server rifiuta il tentativo di connessione. Prova a eseguire Tomcat con -Djavax.net.debug=ssl e pubblica le parti pertinenti (informazioni sulla connessione, stacktrace delle eccezioni) sul motivo per cui il tentativo fallisce.

Answer 2

Assicurarsi che il file del certificato sia in formato PEM, non in CRT (quindi il documentation for Net::HTTP in Ruby 1.9.3 dice).

Aggiornamento sembra che la documentazione non sia aggiornata, Ruby 1.9.3 accetterà qualsiasi tipo di certificato.

Answer 3

Sto usando Ruby 1.9.3 e ho riscontrato lo stesso errore durante l'utilizzo di nokogiri per analizzare alcuni URL sicuri.

OpenSSL::SSL::SSLError: SSL_connect returned=1 errno=0 state=SSLv2/v3 read server hello A: (null) 

La risposta sopra fornita da rilievo è corretta ma assicurarsi che l'errore SSL generato è questa che è menzionato sopra.Ho seguito lo stesso e ho trovato una soluzione come questa menzionata di seguito.

uri = URI(url) 
http = Net::HTTP.new(uri.host, uri.port) 
http.use_ssl = true 
http.ssl_version = :SSLv3 
http.verify_mode = OpenSSL::SSL::VERIFY_PEER 
response = http.get(url) 

ora la risposta è avere la corretta html analizzato per l'URL protetto che viene passato ai codici nella URL.