Поддержка Рутокен ЭЦП в OpenSSL (Страница 7 из 17)

Задача: настроить аутентификацию с использованием PAM, Рутокен и ГОСТ-криптографии.
Для этих целей я пытаюсь переделать модуль pam_p11

libp11-2 i386 0.2.8-2

Вам было послано письмо на адрес указанный при регистрации

Разобрался сам - надо было либо нормально прописать адрес модуля, либо установить LD_LIBRARY_PATH. После изменения вызова LoadEngine на

LoadEngine("pkcs11_gost", "./librtpkcs11ecp.so", NULL); 

всё заработало как положено, подпись нормально формируется. Правда, откуда сегфолт при выводе ошибок был, до сих пор не ясно, но это наверное лучше у самих разработчиков openssl в багтрекере спросить. Ещё появилась та же ошибка, что у abstract:

140239041869480:error:06089093:digital envelope routines:EVP_PKEY_CTX_ctrl:command not supported:pmeth_lib.c:411:

- появляется после вызова функции PKCS7_sign. Так и должно быть?

В том примере генерации закрытого ключа вообще нет, только считывание. Судя по расставленным fprintf'ам и выводам ошибок, появляется она после вызова

p7=PKCS7_sign(cert_info.cert, pKey, NULL, in, flags);

- ключ туда передаётся вторым параметром, как я понимаю. При этом сама программа дальше работает нормально, по крайней мере судя по выходным данным.

Ясно, это радует.

Если всё-таки будете разбираться с "bind failed" при запуске системы - удалось получить чуть более информативное сообщение, установив bind9-host из wheezy. Если после этого запустить команду "host www.ru" с вашим конфигом (или с дефолтным, в который добавлена секция engines из вашего), то выдаст такую ошибку:

GOST engine already loaded
17-Apr-2013 17:48:13.632 ENGINE_by_id failed
17-Apr-2013 17:48:13.632 error:260B606D:engine routines:DYNAMIC_LOAD:init failed:eng_dyn.c:521:
17-Apr-2013 17:48:13.632 error:2606A074:engine routines:ENGINE_by_id:no such engine:eng_list.c:417:id=gost
host: dst_lib_init: crypto failure

Ошибка при запуске осталась та же, но думаю что источник у них один.

Кстати, секция в конфиге

[gost_section]
default_algorithms        = ALL

за что-нибудь отвечает, или это остатки от тестирования? Я просто не вижу строчек, которые бы на неё ссылались.

А вы пишете JAVA-апплет? Не смотрели в направлении http://pki.rutokenweb.ru/ ?

Здравствуйте (снова).

Пытаюсь откомпилировать и обкатать нужные функции в виде .exe, прежде чем оборачивать в библиотеку/апплет. К сожалению, пока не получается.

Во время загрузки Engine, после вызова ENGINE_by_id(), вызовов всех нужных ENGINE_ctrl(), функция ENGINE_init() подвисает секунд на 15, и выдаёт сообщение "unable to load module rtPKCS11ECP.dll". Причём это происходит и если грузить по id="pkcs11_gost", как в примерах из первых сообщений, и если загружать гостовский и pkcs11 движки через Dynamic, как в статье на хабре.

Включил выдачу ошибок - ругается на "OPENSSL_Uplink(10100000,08): no OPENSSL_Applink". Пытался компилировать в g++ и в Visual Studio 2010 с /MT и /MD, с различными вариантами libeay32.lib - libeay32MT.lib, libeay32MD.lib (из lib/VC), просто с libeay32.lib (из lib), с разными версиями openssl (1.0.0k и 1.0.1e), пытался использовать разные версии libeay32.dll - всё равно ругается на апплинк. Сделал как предлагает FAQ OpenSSL -

extern "C"
{
#include <openssl/applink.c>
}

После этого ENGINE_init() всё равно висит столько же времени, но ошибка изменилась:

После подключения апплинка также пытался компилировать в g++/VS, с разными версиями библиотек и OSSL - безрезультатно, ничего не меняется.

Пожалуйста, помогите разобраться в чём дело. Потратил на поиски три дня, варианты уже просто закончились.

ОС - Win XP 32 SP3.

P.S. Поправьте ссылку на сборку OpenSSL для windows в первых постах - 1.0.0e выдаёт 404(сейчаслибо 1.0.0k либо 1.0.1e), и в light-версии установки отсутствуют .lib и .h файлы.

P.P.S. Заодно случайно выяснилось, что вылет программы при попытке вывести ошибки после "unable to load module rtPKCS11ECP.dll" лечится удалением вызова ENGINE_free() после неудавшегося ENGINE_init().

---------------

UPD: Всё оказалось до смешного просто - нужна была свежая версия rtPKCS11ECP.dll вместо той, которая лежит в архиве на habrahabr. А ошибки OPENSSL_Applink возникали из-за ERR_print_errors_fp() -  функций принимающих FILE*, как выяснилось, разработчики рекомендуют избегать, тогда applink не будет нужен.