Поддержка Рутокен ЭЦП в OpenSSL (Страница 6 из 17)

Подскажите, возможна ли миграция с КриптоПро на openssl ?

Опишу ситуацию подробнее, чтобы был понятен вопрос. Для работы с некоторым сайтом была преобретена ЭЦП. Удостоверяющий центр выдал нам USB носитель рутокен и комплект ПО "Крипто Про CSP". Мой коллега с помощью данного ПО подписал запрос на сайт (т.е. все необходимые действия для инициализации токена уже выполнены, с помощью КриптоПро можно подписывать запросы). Сейчас стоит задача переноса всего этого хозяйства на сервер. Проблема в том, что у нас нет виндовых серверов, по этому использовать КриптоПро мы не можем. Но нам отлично подойдет openssl для подписи запросов.

Подскажите каким образом в этой замечательной схеме мне заменить КриптоПро/windows на openssl/linux?

p.s. ключи внутри токена не экспортируемые.

Fedora 18, проделал все вышеописанные махинации:
1) скачал не обрезанный openSSL
wget http://www.openssl.org/source/openssl-1.0.1c.tar.gz
2) прописал его в spec
  30:  Source: openssl-%{version}.tar.gz
3) включил ec
228:  enable-cms enable-md2 no-mdc2 no-rc5 enable-ec no-ec2m enable-ecdh enable-ecdsa no-srp \
4) закоментил Source1
  31:   #Source1: hobble-openssl
142:   #%{SOURCE1} > /dev/null
5) Увеличил номер релиза
   24:  Release: 8%{?dist}

Запускаю построение
rpmbuild -bb ~/rpmbuild/SPECS/openssl.spec
получаю ошибку:

make[2]: Entering directory `/home/mikhail/rpmbuild/BUILD/openssl-1.0.1c/apps'
../libcrypto.so: undefined reference to `FIPS_ecdsa_openssl'
../libcrypto.so: undefined reference to `FIPS_ec_key_generate_key'
../libcrypto.so: undefined reference to `FIPS_ecdh_openssl'
../libcrypto.so: undefined reference to `fips_ec_gfp_nist_method'
../libssl.so: undefined reference to `EVP_ecdsa'
../libcrypto.so: undefined reference to `fips_ec_gfp_mont_method'
../libcrypto.so: undefined reference to `fips_ec_gfp_simple_method'
collect2: error: ld returned 1 exit status
make[2]: *** [link_app.gnu] Error 1
make[2]: Leaving directory `/home/mikhail/rpmbuild/BUILD/openssl-1.0.1c/apps'
make[1]: *** [openssl] Error 2
make[1]: Leaving directory `/home/mikhail/rpmbuild/BUILD/openssl-1.0.1c/apps'
make: *** [build_apps] Error 1
error: Bad exit status from /var/tmp/rpm-tmp.rYYbgG (%build)

в чем проблема?

Скажите, а /usr/lib/pkcs11-gost/libpkcs11_gost.so существует?

/usr/lib/libp11.so.2 именно из нашего архива? Libtool установлен?

День добрый.

Пытаюсь прикрутить поддержку ГОСТ/OpenSSL к Debian Squeeze x64. Пока, к сожалению, безуспешно.

Что сделано:
Поставил обновлённые пакеты из Wheezy (дополнительных зависимостей они с собой практически не потянули)

$ apt-show-versions openssl opensc pcscd libtool libccid libpcsclite1
libccid 1.4.7-1 newer than version in archive
libpcsclite1 1.8.4-1 newer than version in archive
libtool 2.4.2-1.1 newer than version in archive
opensc 0.12.2-3 newer than version in archive
openssl 1.0.1e-1 newer than version in archive
pcscd 1.8.4-1 newer than version in archive

Скачал архив с http://ubuntuone.com/2vPRtZZA1jSHRilHa292xd , библиотеки положил по инструкции в /usr/lib/ и /usr/lib/pkcs11-gost/ , ваш конфиг в /etc/ssl/

Токен видится, форматируется через pkcs15-init, Openssl алгоритм из конфига подхватывает:

$ openssl ciphers -v | grep GOST
GOST2001-GOST89-GOST89  SSLv3 Kx=unknown  Au=unknown Enc=unknown   Mac=unknown

сертификаты вроде бы нормально создаются и подписываются.

Проблема:
После выхода из сессии gnome отказывается стартовать, то есть дальше загрузочного экрана gdm3 дело не идёт. С openssl.cnf который был в пакете по умолчанию или вообще без него загрузка проходит нормально, а с вашим конфигом - вылетает. При этом .xsession-errors явно ругается на openssl:

/etc/gdm3/Xsession: Beginning session setup...
bind failed
Auto configuration failed
3817:error:260B606D:engine routines:DYNAMIC_LOAD:init failed:eng_dyn.c:521:
3817:error:260BC065:engine routines:INT_ENGINE_CONFIGURE:engine configuration error:eng_cnf.c:204:section=pkcs11_section, name=dynamic_path, value=/usr/lib/pkcs11-gost/libpkcs11_gost.so
3817:error:0E07606D:configuration file routines:MODULE_RUN:module initialization error:conf_mod.c:235:module=engines, value=engine_section, retcode=-1      

На всякий случай обновил openssl из sid - получил версию 1.0.1e-2, ошибка та же самая.

Пытался искать причины ошибки - в основном ссылаются на некую удалённую страницу с сайта opensc, плюс пишут что эта проблема возникает когда openssl пытается дважды загрузить конфиг.

Пожалуйста, подскажите хотя бы в какую сторону искать. С openssl я раньше не работал, поэтому слабо представляю себе в чём может быть проблема.

В сертификате открытый ключ уложен по-другому

Спасибо за быстрый ответ!

Подскажите тогда такую вещь, правильно ли я импортирую сертификат на токен?
pkcs11-tool --module=/usr/lib/pkcs11-gost/librtpkcs11ecp.so --write-object test.der --type cert --login --id 100 --label "testcertforlogin"

Сомнения возникли из-за того, что при настройке PAM-аутентификации в pam_p11
authkey = PKCS11_find_key(authcert);
не находит private ключа для сертификата.