[LWP] validiert Zertifikat nicht (Strawberry Win32) (gelöst) (Fragen zu Perl-Modulen)

[thread]19027[/thread]

[LWP] validiert Zertifikat nicht (Strawberry Win32) [gelöst]

Tags: perl5 LWP Zertifikat SSL Ähnliche Threads

Leser: 16

Articles: hide open all | hide show old branches

Teilbaum:
Weiteres zu ca_file und ca_path, Programm c_rehash (0 Artikel) 2014-05-25 13:25

+11 replies

GwenDragon

2014-04-14 14:34

User since
2005-01-17
14533 Artikel
Admin1

Seltsamerweise überprüft LWP nur bei Strawberry Perl 5.12.3 (Windows 32bit) die Root-Zertifikate in ca-certificates.crt (CA-Datei als PEM).
Bei 5.14 und später klappts nicht.

Code (perl): (dl )

use LWP::UserAgent; 
use strict;
use warnings;

$ENV{HTTPS_DEBUG} = 1;
$ENV{HTTPS_CA_FILE} = 'X:/etc/ssl/certs/ca-certificates.crt';
$ENV{HTTPS_CA_PATH} = 'X:/etc/ssl/certs/';

my $ua  = LWP::UserAgent->new; 
my $req = HTTP::Request->new(GET => 'https://www.bsi.bund.de');
my $res = $ua->request($req);
print $res->headers_as_string;

ergibt:

Code: (dl )

Cache-Control: max-age=60
Connection: close
Date: Mon, 14 Apr 2014 12:27:11 GMT
Server: HTTP/1.1
Vary: Accept-Encoding
Content-Language: de
Content-Length: 26248
Content-Type: text/html;charset=utf-8
Expires: Mon, 14 Apr 2014 12:19:39 GMT
Last-Modified: Mon, 14 Apr 2014 12:18:39 GMT
Client-Date: Mon, 14 Apr 2014 12:27:12 GMT
Client-Peer: 77.87.229.76:443
Client-Response-Num: 1
Client-SSL-Cert-Issuer: /C=DE/O=TC TrustCenter GmbH/OU=TC TrustCenter Class 2 L1 CA/CN=TC TrustCenter Class 2 L1 CA XI
Client-SSL-Cert-Subject: /C=DE/ST=NRW/L=Koeln/O=Bundesverwaltungsamt/OU=BIT B 5/CN=www.bsi.bund.de
Client-SSL-Cipher: DHE-RSA-AES256-SHA
Content-Base: https://www.bsi.bund.de/
Content-Style-Type: text/css
Imagetoolbar: false
Link: <DE/Home/home_node.html#Start>; rel="bookmark"; title="Zum Inhalt"; type="text/html"
Link: <DE/Service/Impressum/impressum_node.html>; rel="copyright"; title="Impressum"; type="text/html"
Link: <DE/Home/home_node.html>; rel="start"; title="Homepage"; type="text/html"
Link: <DE/Service/Sitemap/sitemap_node.html>; rel="contents"; title=""; type="text/html"
Link: <DE/Service/Suche/suche_node.html>; rel="search"; title="Suche"; type="text/html"
Link: <DE/DasBSI/dasbsi_node.html>; rel="chapter"; title="Das BSI"; type="text/html"
Link: <DE/Themen/themen_node.html>; rel="chapter"; title="Themen"; type="text/html"
Link: <DE/Aktuelles/aktuelles_node.html>; rel="chapter"; title="Aktuelles"; type="text/html"
Link: <DE/Presse/presse_node.html>; rel="chapter"; title="Presse"; type="text/html"
Link: <DE/Publikationen/publikationen_node.html>; rel="chapter"; title="Publikationen"; type="text/html"
Link: <DE/Home/hidden_node.html>; rel="chapter"; title="Homepage"; type="text/html"
Link: </SiteGlobals/StyleBundles/Bilder/favicon.ico?__blob=normal&v=2>; rel="shortcut icon"; type="image/ico"
Link: <SiteGlobals/Functions/RSSFeed/RSSNewsfeed/RSSNewsfeed.xml>; rel="alternate"; title="BSI RSS-Newsfeed Presse- und Kurzmitteilungen"; type="application/rss+xml"
Link: <SiteGlobals/StyleBundles/CSS/visual/visual.css?v=2>; media="print, projection, screen"; rel="stylesheet"; type="text/css"
Link: <SiteGlobals/StyleBundles/CSS/screen/screen-a.css?v=3>; media="projection, screen"; rel="stylesheet"; type="text/css"
Link: <SiteGlobals/StyleBundles/CSS/print/print.css?v=2>; media="print"; rel="stylesheet"; type="text/css"
Set-Cookie: server-id=1294; path=/
Title: BSI: Startseite Bundesamt f├╝r Sicherheit in der Informationstechnik
X-Frame-Options: sameorigin
X-Meta-Description: Startseite Bundesamt f├╝r Sicherheit in der Informationstechnik. Hier erhalten Sie aktuelle Informationen zu Themen rund um die IT-Sicherheit.
X-Meta-Generator: Government Site Builder 4.0
X-Meta-GenTime: Mon Apr 14 14:18:39 CEST 2014
X-Meta-Keywords: BSI, Bundesamt, Informationstechnologie, Informationstechnik, CERT-Bund, CERT, Sicherheitsberatung, IT-Sicherheit
X-Meta-MSSmartTagsPreventParsing: true
X-Server-Generated: Mon, 14 Apr 2014 12:18:39 GMT
X-Server-Instance-Name: 2_cid294
X-XSS-Protection: 1; mode=block
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
SSL_connect:SSLv3 read server hello A
SSL_connect:SSLv3 read server certificate A
SSL_connect:SSLv3 read server key exchange A
SSL_connect:SSLv3 read server done A
SSL_connect:SSLv3 write client key exchange A
SSL_connect:SSLv3 write change cipher spec A
SSL_connect:SSLv3 write finished A
SSL_connect:SSLv3 flush data
SSL_connect:SSLv3 read finished A
SSL_connect:before/connect initialization
SSL_connect:SSLv2/v3 write client hello A
SSL_connect:SSLv3 read server hello A
SSL_connect:SSLv3 read server certificate A
SSL_connect:SSLv3 read server key exchange A
SSL_connect:SSLv3 read server done A
SSL_connect:SSLv3 write client key exchange A
SSL_connect:SSLv3 write change cipher spec A
SSL_connect:SSLv3 write finished A
SSL_connect:SSLv3 flush data
SSL_connect:SSLv3 read finished A

während 5.14 ff folgendes zeigt (beachte das Client-SSL-Warning: Peer certificate not verified):

Code: (dl )

Cache-Control: max-age=60
Connection: close
Date: Mon, 14 Apr 2014 12:28:31 GMT
Server: HTTP/1.1
Vary: Accept-Encoding
Content-Language: de
Content-Length: 26248
Content-Type: text/html;charset=utf-8
Expires: Mon, 14 Apr 2014 12:27:36 GMT
Last-Modified: Mon, 14 Apr 2014 12:26:36 GMT
Client-Date: Mon, 14 Apr 2014 12:28:31 GMT
Client-Peer: 77.87.229.76:443
Client-Response-Num: 1
Client-SSL-Cert-Issuer: /C=DE/O=TC TrustCenter GmbH/OU=TC TrustCenter Class 2 L1 CA/CN=TC TrustCenter Class 2 L1 CA XI
Client-SSL-Cert-Subject: /C=DE/ST=NRW/L=Koeln/O=Bundesverwaltungsamt/OU=BIT B 5/CN=www.bsi.bund.de
Client-SSL-Cipher: ECDHE-RSA-AES256-SHA
Client-SSL-Socket-Class: IO::Socket::SSL
Client-SSL-Warning: Peer certificate not verified
Content-Base: https://www.bsi.bund.de/
Content-Style-Type: text/css
Imagetoolbar: false
Link: <DE/Home/home_node.html#Start>; rel="bookmark"; title="Zum Inhalt"; type="text/html"
Link: <DE/Service/Impressum/impressum_node.html>; rel="copyright"; title="Impressum"; type="text/html"
Link: <DE/Home/home_node.html>; rel="start"; title="Homepage"; type="text/html"
Link: <DE/Service/Sitemap/sitemap_node.html>; rel="contents"; title=""; type="text/html"
Link: <DE/Service/Suche/suche_node.html>; rel="search"; title="Suche"; type="text/html"
Link: <DE/DasBSI/dasbsi_node.html>; rel="chapter"; title="Das BSI"; type="text/html"
Link: <DE/Themen/themen_node.html>; rel="chapter"; title="Themen"; type="text/html"
Link: <DE/Aktuelles/aktuelles_node.html>; rel="chapter"; title="Aktuelles"; type="text/html"
Link: <DE/Presse/presse_node.html>; rel="chapter"; title="Presse"; type="text/html"
Link: <DE/Publikationen/publikationen_node.html>; rel="chapter"; title="Publikationen"; type="text/html"
Link: <DE/Home/hidden_node.html>; rel="chapter"; title="Homepage"; type="text/html"
Link: </SiteGlobals/StyleBundles/Bilder/favicon.ico?__blob=normal&v=2>; rel="shortcut icon"; type="image/ico"
Link: <SiteGlobals/Functions/RSSFeed/RSSNewsfeed/RSSNewsfeed.xml>; rel="alternate"; title="BSI RSS-Newsfeed Presse- und Kurzmitteilungen"; type="application/rss+xml"
Link: <SiteGlobals/StyleBundles/CSS/visual/visual.css?v=2>; media="print, projection, screen"; rel="stylesheet"; type="text/css"
Link: <SiteGlobals/StyleBundles/CSS/screen/screen-a.css?v=3>; media="projection, screen"; rel="stylesheet"; type="text/css"
Link: <SiteGlobals/StyleBundles/CSS/print/print.css?v=2>; media="print"; rel="stylesheet"; type="text/css"
Set-Cookie: server-id=1359; path=/
Title: BSI: Startseite Bundesamt f├╝r Sicherheit in der Informationstechnik
X-Frame-Options: sameorigin
X-Meta-Description: Startseite Bundesamt f├╝r Sicherheit in der Informationstechnik. Hier erhalten Sie aktuelle Informationen zu Themen rund um die IT-Sicherheit.
X-Meta-Generator: Government Site Builder 4.0
X-Meta-GenTime: Mon Apr 14 14:26:36 CEST 2014
X-Meta-Keywords: BSI, Bundesamt, Informationstechnologie, Informationstechnik, CERT-Bund, CERT, Sicherheitsberatung, IT-Sicherheit
X-Meta-MSSmartTagsPreventParsing: true
X-Server-Generated: Mon, 14 Apr 2014 12:26:36 GMT
X-Server-Instance-Name: 2_cid359
X-XSS-Protection: 1; mode=block

Openssl ist laut C:\strawberry\c\bin\openssl.exe version:
Perl 5.12: OpenSSL 0.9.8l 5 Nov 2009
Perl 5.14: OpenSSL 1.0.1e 11 Feb 2013
Perl 5.16: OpenSSL 1.0.1e 11 Feb 2013
Perl 5.18: OpenSSL 1.0.1e 11 Feb 2013
Last edited: 2014-04-14 14:49:09 +0200 (CEST)

die Drachin, Gwendolyn

Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel

bianca

2014-04-14 14:54

User since
2009-09-13
6977 Artikel
BenutzerIn

Sowas hatte ich mal mit SOAP::Lite: SOAP::Lite und certificate verify failed
Benutzt du in beiden Tests die selbe LWP Version?
10 print "Hallo"
20 goto 10
GwenDragon

2014-04-14 15:27

User since
2005-01-17
14533 Artikel
Admin1

Das ist wirklich seltsam.
Bei 5.12 und LWP sieht es so aus als ignoriere es die Überprüfung der Root-CA.

Ab 5.14 braucht es als Parameter bei LWP noch ssl_opts => { verify_hostname => 1 } damit die Root-CA-Validierung klappt. Bei Fehlschlag verbindet es dann nicht. :)

2014-04-14T12:54:17 bianca
Benutzt du in beiden Tests die selbe LWP Version?
Gibts nicht, das war bei 5.12 die LWP 5.8.3, bei den anderen 6.05.
Jetzt klappt es wenigstens mit einer Fehlermeldung bei Fehlschlag:

Quote
LWP::Protocol::https::Socket: SSL connect attempt failed with unknown error error:14090086:SSL routines:SSL3_GET_SERVER_
CERTIFICATE:certificate verify failed at C:\strawberry\perl\site\lib/LWP/Protocol/http.pm line 51.

die Drachin, Gwendolyn

Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
GwenDragon

2014-04-14 15:50
User since
2005-01-17
14533 Artikel
Admin1
Da ich mit 5.14 ff bei SSL keine Debug-Ausgabe mehr über die Umgebungsvariable HTTPS_DEBUG bekomme, nehme ich jetzt noch am Anfang dazu:
Code (perl): (dl )

use IO::Socket::SSL qw(debug3);
die Drachin, Gwendolyn

Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
+6 replies
Gast Steffen Ullrich

2014-05-25 09:34

Neuere Versionen von LWP haben einen Bug, dass die Zertfizierung abgeschalten wird, sobald HTTPS_CA_FILE bzw. HTTPS_CA_PATH gesetzt ist. Siehe https://bugs.debian.org/cgi-bin/bugreport.cgi?bug=... für Diskussion und einen Fix.

Am besten, du nimmst die ganzen %ENV Sachen weg.
Mit LWP6 wurde auf IO::Socket::SSL als SSL-Backend umgestellt und die Environmentvariablen werden nur noch teilweise bzw. wie in diesem Fall buggy unterstützt. Es ist auch nicht mehr unbedingt nötig einen eigenen CA path anzugeben, weil LWP standardmäßig die CAs von Mozilla benutzt (Mozilla::CA). Man kann es aber trotzdem machen, indem man als ssl_opts SSL_ca_file bzw. SSL_ca_path angibt.
Last edited: 2014-05-25 09:39:26 +0200 (CEST)
- +4 replies
- bianca
  
  2014-05-25 10:57
  
  User since
  2009-09-13
  6977 Artikel
  BenutzerIn
  
  Guest Steffen Ullrich
  Man kann es aber trotzdem machen, indem man als ssl_opts SSL_ca_file bzw. SSL_ca_path angibt.
  
  Das kann ich bestätigen, das funktioniert. Aber man darf das in SSL_ca_file nur angeben, wenn es zwingend nur gegen das angegebene Zertifikat prüfen soll. Das ist also keine Addition nach dem Motto "ich füge dem Pool mal ein Zertifikat hinzu" sondern eine explizite Vorgabe.
  10 print "Hallo"
  20 goto 10
  - GwenDragon
    
    2014-05-25 12:33
    
    Subtree with 1 replies: Weiteres zu ca_file und ca_path, Programm c_rehash
    
    User since
    2005-01-17
    14533 Artikel
    Admin1
    
    Peim Parameter SSL_ca_file wird üblicherweise ein Zertifikatsbündel (Datei, die mehrere PEM-koderte CA-Zertifikate, jedes durch eine Leerzeile getrennt, beinhaltet) angegeben, das alle zu überprüfenden Zertifikate beinhaltet.
    
    Wenn ein durch SSL_ca_path angegebenes Verzeichnis verwendet wird, müssen die Zertifikate als einzelne Dateien (PEM-kodiert) vorliegen, es muss für jede eine Hashdatei existieren, welche durch das Programm c_rehash erzeugt wurde.
    
    Syntax: c_rehash ~/.cert/www.example.com/
    
    Siehe auch https://www.openssl.org/docs/ssl/SSL_CTX_load_veri...
    
    c_rehash:
    more (50.8kb)
    
    c_rehash in OpenSSL source.
    
    Einfach fragen, wenns wissen fehlt ;)
    
    Editiert von GwenDragon: c_rehash hinzu, für Windows wg. tempfile angepasst
    Last edited: 2014-05-25 13:25:58 +0200 (CEST)
    die Drachin, Gwendolyn
    
    Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
  - Gast Steffen Ullrich
    
    2014-05-25 20:07
    
    2014-05-25T08:57:34 bianca
    ...Aber man darf das in SSL_ca_file nur angeben, wenn es zwingend nur gegen das angegebene Zertifikat prüfen soll. Das ist also keine Addition nach dem Motto "ich füge dem Pool mal ein Zertifikat hinzu" sondern eine explizite Vorgabe.
    
    SSL_ca_file entspricht zu 100% dem HTTPS_CA_FILE Parameter, d.h. es ist eine Datei, die viele CA-Zertifikate im PEM-Format beinhalten kann. Tatsächlich wird von LWP auf diese Weise Mozilla::CA::SSL_ca_file() eingebunden, wenn man keine andere Datei (wie z.B. /etc/ssl/certs/ca-certificates.pem) angibt.
    Last edited: 2014-05-25 20:47:19 +0200 (CEST)
  - bianca
    
    2014-05-26 07:24
    
    User since
    2009-09-13
    6977 Artikel
    BenutzerIn
    
    Steffen und GwenDragon: Mein Text war für den Fall, dass die Datei nur ein Zertifikat enthält, in meinem Fall ein selbst gemachtes. Und da hab ich die Erfahrung gemacht, dass LWP dann zwingend nur gegen das eine prüft. Zumindest konnte LWP dann nur noch mit dem zugehörigen Server kommunizieren, bei anderen kam Fehler 500, da durfte ich SSL_ca_file nicht angeben.
    10 print "Hallo"
    20 goto 10
- GwenDragon
  
  2014-05-25 11:10
  
  User since
  2005-01-17
  14533 Artikel
  Admin1
  
  Danke für den Hinweis.
  die Drachin, Gwendolyn
  
  Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
GwenDragon

2014-05-25 12:04

User since
2005-01-17
14533 Artikel
Admin1

Mit der derzeitigen libwww-perl-6.06 + LWP-Protocol-https-6.06 klappt es wieder.
Nur noch die von Steffen angesprochene Option ssl_opts zu verwenden ist die Lösung.
die Drachin, Gwendolyn

Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel

View all threads created 2014-04-14 14:34.