Форум Рутокен — Stunnel+Рутокен ЭЦП rdp

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Tue, 01 Sep 2020 16:16:02 +0000

Спасибо. Помогли

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Thu, 06 Aug 2020 15:12:15 +0000

Фатеева Светлана,
да пин код запрашивается, проходит все нормально,
вроде даже видит сертификат

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Thu, 06 Aug 2020 07:38:45 +0000

Фатеева Светлана пишет:

Необходимо проверить некоторые настройки, поэтому пришлите пожалуйста вывод вашей команды генерации сертификата.
Например: openssl req -engine pkcs11 -new -utf8 -key "pkcs11:id=%7a%31%34%7a%68%4e%66%58" -keyform engine -subj "/C=RU/ST=Moscow/L=Moscow/O=Aktiv/OU=dev/CN=testuser/emailAddress=testuser@mail.com (emailAddress=testuser@mail.com)"

Данная заявка тестовая, которая позволит понять правильно ли задан путь для ключа.
При запуске stunnel запрашивается ли пин-код к рутокену?

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Wed, 05 Aug 2020 17:03:04 +0000

Фатеева Светлана,

Stunnel запускаю на прямую без root прав, в этом случае лог выдает тот что я вам высылал.
Если же пытаюсь запустить сервис, то он не запускается.

К сожалению вывод генерации сертификата не могу Вам представить. Токен с уже
"вшитым" сертификатом мне дали. Работает из под windows. Но систему менять не хочется.
Поэтому прошу помощи у Вас

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Mon, 03 Aug 2020 12:21:32 +0000

Протестировали ваш кейс и получилось настроить систему.
Необходимо проверить некоторые настройки, поэтому пришлите пожалуйста вывод вашей команды генерации сертификата.
Например: openssl req -engine pkcs11 -new -utf8 -key "pkcs11:id=%7a%31%34%7a%68%4e%66%58" -keyform engine -subj "/C=RU/ST=Moscow/L=Moscow/O=Aktiv/OU=dev/CN=testuser/emailAddress=testuser@mail.com (emailAddress=testuser@mail.com)"

Также уточните как именно вы запускаете stunnel? Как сервис или напрямую через sudo?

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Thu, 30 Jul 2020 14:03:11 +0000

Фатеева Светлана,
схема простая)
вставляю токен, запускаю stunnel и подключаюсь к удаленному рабочему столу
попробовал предложенные настройки
итог такой же, stunnel не запускается

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Thu, 30 Jul 2020 13:31:46 +0000

Опишите общую схему подключения.
А также попробуйте следующие настройки
[openssl_def]
engines = engine_section

[engine_section]
rtengine = pkcs11_section

[pkcs11_section]
engine_id = pkcs11
dynamic_path = /path/to/pkcs11.so
MODULE_PATH = /usr/lib/librtpkcs11ecp.so
default_algorithms = CIPHERS, DIGEST, PKEY, RAND

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Thu, 30 Jul 2020 12:31:55 +0000

Фатеева Светлана,
rsa

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Thu, 30 Jul 2020 12:26:12 +0000

Уточните какой сертификат вы используете для подключения? RSA или ГОСТ?
Это важно для правильной настройки вашего подключения.

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Thu, 30 Jul 2020 11:57:40 +0000

Фатеева Светлана пишет:

hotline@rutoken.ru

Направил

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Thu, 30 Jul 2020 09:06:55 +0000

Уточните какой сертификат вы используете для подключения? RSA или ГОСТ?
Можете прислать файлы конфигурации openssl и stunnel на почту hotline@rutoken.ru ?

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Thu, 30 Jul 2020 08:54:43 +0000

Фатеева Светлана,

Отредактировал конфиги openssl и stunnel в соответствии с инструкцией

[ ] Clients allowed=500
[.] stunnel 5.56 on x86_64-pc-linux-gnu platform
[.] Compiled with OpenSSL 1.1.1c 28 May 2019
[.] Running with OpenSSL 1.1.1f 31 Mar 2020
[.] Threading:PTHREAD Sockets:POLL,IPv6,SYSTEMD TLS:ENGINE,FIPS,OCSP,PSK,SNI Auth:LIBWRAP
[ ] errno: (*__errno_location ())
[.] Reading configuration from file /etc/stunnel/stunnel.conf
[.] UTF-8 byte order mark not detected
[ ] Enabling support for engine "rtengine"
[ ] UI not supported by engine #1 (rtengine)
[ ] Initializing engine #1 (rtengine)
[ ] Engine #1 (rtengine) initialized
[.] FIPS mode disabled
[ ] Compression disabled
[ ] No PRNG seeding was required
[ ] Initializing service [remote system]
[ ] Ciphers: HIGH:!aNULL:!SSLv2:!DH:!kDHEPSK
[ ] TLSv1.3 ciphersuites: TLS_CHACHA20_POLY1305_SHA256:TLS_AES_256_GCM_SHA384:TLS_AES_128_GCM_SHA256
[ ] TLS options: 0x02100004 (+0x00000000, -0x00000000)
[ ] Loading certificate from file: 35656165303265382d393866612d343530352d386133652d3138333562613961666237615f45
[!] error queue: ../ssl/ssl_rsa.c:615: error:140DC002:SSL routines:use_certificate_chain_file:system lib
[!] error queue: ../crypto/bio/bss_file.c:290: error:20074002:BIO routines:file_ctrl:system lib
[!] SSL_CTX_use_certificate_chain_file: ../crypto/bio/bss_file.c:288: error:02001002:system library:fopen:No such file or directory
[!] Service [remote system]: Failed to initialize TLS context
[ ] Deallocating section defaults

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Wed, 29 Jul 2020 15:01:54 +0000

Пропробуйте настроить согласно нашей статье, так как описанный в ней способ был протестирован нами.

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Руслан Даянов) — Wed, 29 Jul 2020 14:48:40 +0000

Фатеева Светлана,
Нет и честно говоря не нашел тут ответов на свой вопрос

Re: Stunnel+Рутокен ЭЦП rdp

null@example.com (Фатеева Светлана) — Wed, 29 Jul 2020 11:24:01 +0000

Вы настраиваете Stunnel и Рутокен ЭЦП согласно этой статье?