CURL и ГОСТ

NT Man · 15 Янв 2013

Итак скомпилировал CURL с поддержкой ГОСТа.

Проверил

$ openssl s_client -connect icrs.nbki.ru:443 -tls1 -debug -msg -state
CONNECTED(00000003)
SSL_connect:before/connect initialization

***
---
New, TLSv1/SSLv3, Cipher is GOST2001-GOST89-GOST89
Server public key is 256 bit
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1
Cipher : GOST2001-GOST89-GOST89
Session-ID:
Session-ID-ctx:
Master-Key: 6A64655D5A2C2E405076D8E6D58275F9BCE6D698E4377B7F9FB1392A337DD2C797A04A0691A39D326C8EBCD574A69A25
Key-Arg : None
Krb5 Principal: None
PSK identity: None
PSK identity hint: None
Start Time: 1358168321
Timeout : 7200 (sec)
Verify return code: 21 (unable to verify the first certificate)
---
kjkjkjk
write to 0x8591398 [0x85a0456] (26 bytes => 26 (0x1A))
0000 - 17 03 01 00 04 38 f9 71-4b 17 03 01 00 0c 15 54 .....8.qK......T
0010 - e0 3f ec 6c f5 27 47 58-48 4c .?.l.'GXHL
read from 0x8591398 [0x859bf03] (5 bytes => 5 (0x5))
0000 - 17 03 01 01 1b .....
read from 0x8591398 [0x859bf08] (283 bytes => 283 (0x11B))
0000 - 9b 12 6c 6b 24 96 90 27-e5 ee ab 82 55 ee 2e ac ..lk$..'....U...
0010 - 5a cb 83 c1 b4 fd 79 a5-f0 94 cf c6 77 fb f1 0b Z.....y.....w...
0020 - bf a3 4a 3d fb 48 df d2-08 04 02 28 1b d7 40 25 ..J=.H.....(..@%
0030 - b7 30 19 bb b7 6a 3d ce-eb f1 d0 d5 91 05 8a 2f .0...j=......../
0040 - 07 f0 a0 ad 4e 3b 65 a4-fb 66 f8 1e 4c 84 9e d1 ....N;e..f..L...
0050 - de eb 25 af df 84 7e 22-be 3e a9 97 3d 0a ae 1c ..%...~".>..=...
0060 - 1d 35 b5 37 58 ac 00 2f-af 35 6e 7d 67 c5 5f 13 .5.7X../.5n}g._.
0070 - b4 94 b8 32 c8 f2 e8 31-68 79 6d 18 af db 8b ec ...2...1hym.....
0080 - 58 b6 2d 03 80 83 2f d4-bc 23 e1 5a b8 73 b2 f9 X.-.../..#.Z.s..
0090 - ce 92 af 96 f5 71 5a fd-3d ae 41 a4 8b cb ed a8 .....qZ.=.A.....
00a0 - 50 4b 1a a3 b6 a2 1f 62-94 67 e5 b2 bf f7 9a 0e PK.....b.g......
00b0 - 35 5d 7b d1 e2 48 34 9d-83 d1 e2 e3 f3 7d 26 65 5]{..H4......}&e
00c0 - 64 83 ab 83 a6 5d 21 67-3d 96 56 43 92 ca 2b 4c d....]!g=.VC..+L
00d0 - 7a e0 3f 28 a8 d0 09 b2-b0 cb 40 c6 69 b6 df 1c z.?(......@.i...
00e0 - 6a 49 d2 c4 ea 31 ca 4d-ea a8 4e c3 47 b6 0a 9d jI...1.M..N.G...
00f0 - fc 43 e5 fc 38 b6 af 85-29 25 1b 27 9f 9b 2d 33 .C..8...)%.'..-3
0100 - ee bf 70 ff 83 93 24 c4-6a a3 a6 32 d5 f0 db 2f ..p...$.j..2.../
0110 - 1d b3 4c f7 98 32 66 99-b9 ed 3f ..L..2f...?
<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>302 Found</title>
</head><body>
<h1>Found</h1>
<p>The document has moved <a href="https://icrs.nbki.ru/main">here</a>.</p>
<hr>
<address>Apache/2.2.21 Server at icrs.nbki.ru Port 443</address>
</body></html>
read from 0x8591398 [0x859bf03] (5 bytes => 0 (0x0))
read:errno=0
write to 0x8591398 [0x85a0453] (11 bytes => 11 (0xB))
0000 - 15 03 01 00 06 1c 86 f5-0d b6 0c ...........
>>> TLS 1.0 Alert [length 0002], warning close_notify
01 00
SSL3 alert write:warning:close notify

Как видно подключается.

Но когда обращаюсь из PHP получаю ошибку: Cannot communicate securely with peer: no common encryption algorithm(s).

Почему PHP не работает с ГОСТом??? Разве OpenSSL построен не по модульному принципу? (т е перекомпилил его и все программы его использующие работают с новыми криптографическими движками)

https://docs.google.com/file/d/0B0nwzlfiB4aQVXpNQzRhN091ajQ/edit

NT Man · 15 Янв 2013

Какие настройки OpenSSL используются при работе PHP скрипта?
Чтоб работал ГОСТ я добавил в openssl.cnf следующие строки

openssl_conf = openssl_def

[openssl_def]
engines = engine_section

[engine_section]
gost = gost_section

[gost_section]
engine_id = gost
default_algorithms = ALL
dynamic_path = /usr/lib/openssl/engines/libgost.so
CRYPT_PARAMS = id-Gost28147-89-CryptoPro-A-ParamSet

Есть подозрение, которое пока не могу никак опровергнуть, что PHP скрипты не используют эту дополнительную настройку.

NT Man · 15 Янв 2013

Итак я нашел решение!

Надо в файле ext/openssl/openssl.c

перед строчкой
SSL_library_init();

добавить
/* needed for use default config */
OPENSSL_config(NULL);

Подсказку дала вот эта тема: http://stackoverflow.com/questions/10959771/openssl-and-gost-engine-issue-statically-linked

Кто сможет мой патчь (неловко даже называть это патчем) протолкнуть в апстрим?

PHP:

*** 111/openssl.c       2012-12-19 12:55:19.000000000 +0600                                                                                                   
--- openssl.c   2013-01-15 18:43:22.000000000 +0600                                                                                                           
***************                                                                                                                                               
*** 1038,1043 ****                                                                                                                                            
--- 1038,1046 ----                                                                                                                                            
        le_x509 = zend_register_list_destructors_ex(php_x509_free, NULL, "OpenSSL X.509", module_number);                                                     
        le_csr = zend_register_list_destructors_ex(php_csr_free, NULL, "OpenSSL X.509 CSR", module_number);                                                   
                                                                                                                                                              
+       /* needed for use default config */                                                                                                                   
+       OPENSSL_config(NULL);                                                                                                                                 
+                                                                                                                                                             
        SSL_library_init();                                                                                                                                   
        OpenSSL_add_all_ciphers();                                                                                                                            
        OpenSSL_add_all_digests();

tony2001 · 15 Янв 2013

Патч сходу выглядит неправильным - в PHP есть уже чтение конфига openssl.conf (и даже можно указать какой конкретно конфиг читать), см. php_openssl_parse_config() там же.
Лучше всего создать баг, объяснить проблему и дать мне ссылку на него - я назначу его сразу на Пьера, пусть он уже разбирается.

NT Man · 15 Янв 2013

https://bugs.php.net/bug.php?id=63992

спасибо заранее

tony2001 · 15 Янв 2013

Очень желательно добавить короткий (но самодостаточный) код для воспроизведения, это сильно ускорит всё.

NT Man · 15 Янв 2013

В архиве пример для CLI, конфиг openSSL для подключения ГОСТ и spec файл помощью которого в Fedora 18 можно обрать rpm openSSL с поддержкой ГОСТ.

Чтонибудь еще??

tony2001 · 15 Янв 2013

Я про PHP-код говорил, мы же его тестируем/исправляем.

NT Man · 16 Янв 2013

А test.php из архива не подходит?

Вурдалак · 16 Янв 2013

PHP:

$headers = array(
	"POST Xml.php HTTP/1.0",

???

NT Man · 16 Янв 2013

Еще проблема нарисовалась:
Все что я выше описал работает под CentOS 5, под Fedora 18 не работает нивкакую с PHP
$ openssl s_client -connect icrs.nbki.ru:443 -tls1 -debug -msg -state в обеих операциоках работает.

С права Fedora 18, с лева CentOS 5. Что за SSL версия такая NSS/3.14.0.1 ???

NT Man · 16 Янв 2013

Вурдалак написал(а):
PHP:

$headers = array( "POST Xml.php HTTP/1.0",

???

Это заголовки для POST запроса. На самом деле безразницы мы ж тестируем не логику а SSL чтоб соеденялся.

tony2001 · 16 Янв 2013

Да, сорри, пропустил код в репорте.

Вурдалак · 16 Янв 2013

NT Man написал(а):
Это заголовки для POST запроса. На самом деле безразницы мы ж тестируем не логику а SSL чтоб соеденялся.

Что это за заголовок такой? Мне лень тестировать, но у тебя результирующий запрос будет либо

Код:

POST /products/B2BRequestServlet HTTP/1.1
Host: icrs.nbki.ru
POST Xml.php HTTP/1.0
content-type:application/octet-stream;charset="windows-1251"
...

либо

Код:

POST Xml.php HTTP/1.0
Host: icrs.nbki.ru
content-type:application/octet-stream;charset="windows-1251"
...

и ни то, ни другое не имеет смысла.

NT Man · 16 Янв 2013

Вурдалак написал(а):
Что это за заголовок такой? Мне лень тестировать, но у тебя результирующий запрос будет либо
и ни то, ни другое не имеет смысла.

Обрати внимание на зануленую переменную $xml через неё передаются все данных, для теста SSL это не нужно.
P.S. на продакшене CentOS 5 + OpenSSL 1.0.1c + PHP 5.4.10 выше приведенный пример, если ГОСТ правильно настроен и применен мой патчь работает.

Получить OpenSSL 1.0.1c c ГОСТ можно тут:
http://rpm.axivo.com/
# yum --enablerepo=axivo update openssl

Получить PHP 5.4.10 можно тут:
http://blog.famillecollet.com/pages/Config-en

Вурдалак · 16 Янв 2013

NT Man написал(а):
Обрати внимание на зануленую переменную $xml через неё передаются все данных, для теста SSL это не нужно.

Не нужно. Зачем ты тогда это написал?

NT Man · 16 Янв 2013

Вурдалак написал(а):
Не нужно. Зачем ты тогда это написал?

Да лень было вычищать. Вот теперь очищенный пример. Если ГОСТ работает будет выводить "Ok", в противном случае

PHP Fatal error: Uncaught exception 'Exception' with message 'Cannot communicate securely with peer: no common encryption algorithm(s).' in /home/mikhail/www/labs-nbki/test.php:15
Stack trace:
#0 {main}
thrown in /home/mikhail/www/labs-nbki/test.php on line 15

Fatal error: Uncaught exception 'Exception' with message 'Cannot communicate securely with peer: no common encryption algorithm(s).' in /home/mikhail/www/labs-nbki/test.php:15
Stack trace:
#0 {main}
thrown in /home/mikhail/www/labs-nbki/test.php on line 15

Airis · 18 Июн 2013

Установил OpenSSL 1.0.0 с поддержкой ГОСТ. Протестировал openssl - работает.
Тестирование доступа php+curl выдает ошибку:

Connection error. Cause: error:140920F8:SSL routines:SSL3_GET_SERVER_HELLO:unknown cipher returned

Что не так? Нужна ли перекомпиляция curl или php ?

NT Man · 18 Июн 2013

pochta.ru

Airis написал(а):
Установил OpenSSL 1.0.0 с поддержкой ГОСТ. Протестировал openssl - работает.
Тестирование доступа php+curl выдает ошибку:

Что не так? Нужна ли перекомпиляция curl или php ?

Какой дистрибутив?
curl давно уж как перешел на NSS провайдер вместо OpenSSL.
https://bugzilla.redhat.com/show_bug.cgi?id=908069
Соответственно раз curl юзает NSS, а php юзает curl, то GOST в OpenSSL это как мертвому припарка.
Возможные варианты это перекомпилировать curl чтоб он использовал OpenSSL вместо NSS, при этом в PHP придется внести опубликованный мной патч так как PHP почемуто не инитит дефолтный конфиг OpenSSL или поставить всеже криптоПРО и работать через него с его курлом. Второй вариант особенно актуален если у вас сертификаты в формате КриптоПро.

Airis · 18 Июн 2013

NT Man написал(а):
Какой дистрибутив?

Характеристики системы такие:

FreeBSD 7.2-RELEASE
OpenSSL 1.0.0k 5 Feb 2013
#curl -V выдает следущее

curl 7.19.4 (i386-portbld-freebsd7.2) libcurl/7.19.4 OpenSSL/0.9.8e zlib/1.2.3
Protocols: tftp ftp telnet dict http file https ftps
Features: IPv6 Largefile NTLM SSL libz

Судя по всему curl использует OpenSSL.

Вот еще информация:
#openssl engine

(dynamic) Dynamic engine loading support
(gost) Reference implementation of GOST engine

#curl --engine list

Build-time engines:
padlock
dynamic

- тут видно, что curl не поддерживает движок gost.

Тут http://sourceforge.net/p/curl/bugs/1208/ написано, что необходимо применить патч, который видимо криво сделан...в общем не получилось.
Если я не ошибаюсь и мой curl в данный момент работает через OpenSSL, то как его заставить увидеть engine GOST?

CURL и ГОСТ

Новичок

Новичок

Новичок

TeaM PHPClub

Новичок

TeaM PHPClub

Новичок

Вложения

TeaM PHPClub

Новичок

Продвинутый новичок

Новичок

Вложения

Новичок

TeaM PHPClub

Продвинутый новичок

Новичок

Продвинутый новичок

Новичок

Вложения

Новичок

Новичок

Новичок