[Mail::ImapClient] SSL selfsigned (gelöst) (Netzwerkprogrammierung und Netzwerke mit Perl)

[thread]19749[/thread]

[Mail::ImapClient] SSL selfsigned [gelöst]

Tags: perl5 SSL centos6 Mail::IMAP Ähnliche Threads

Leser: 16

Articles: hide open all | hide show old branches

+8 replies
cat1510

2015-08-03 16:47
User since
2015-08-03
2 Artikel
BenutzerIn
Hallo,

ich habe ein total simples IMAP Script 'geschrieben'.
Das funktioniert auch solange der Server nicht selfsigned ist.

Hier mein Code:
Code: (dl )

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

#!/usr/bin/perl # Always be safe use strict; use warnings; # Use the module use Mail::IMAPClient; use IO::Socket::SSL; my $imap = Mail::IMAPClient->new( Server => 'server.name.de', User => 'xxxxxxxxxxxx', Password => 'xxxxxxxxxx', Port => 993, Ssl => 1, Uid => 1, ) or die "IMAP Failure: $@"; my $folders = $imap->folders or die "List folders error: ", $imap->LastError, "\n"; print "Folders: @$folders\n"; $imap->logout or die "Logout error: ", $imap->LastError, "\n";
Code: (dl )

1 2 3 4 5 6 7

Started at Mon Aug 3 16:44:36 2015 Using Mail::IMAPClient version 3.35 on perl 5.010001 Connecting with IO::Socket::SSL PeerAddr server.name.de PeerPort 993 Proto tcp Timeout 600 Debug 1 ERROR: Unable to connect to server.name.de: at /usr/local/share/perl5/Mail/IMAPClient.pm line 370. Mail::IMAPClient::connect(Mail::IMAPClient=HASH(0x1851b98)) called at /usr/local/share/perl5/Mail/IMAPClient.pm line 313 Mail::IMAPClient::new("Mail::IMAPClient", "Server", "server.name.de", "User", "xxxxx", "Password", "xxxxxx", "Ssl", 1, ...) called at ./imaptest.pl line 12 IMAP Failure: Unable to connect to server.name.de: at ./imaptest.pl line 12.
Wuerden die Optionen:

(SSL_verify_mode => 'SSL_VERIFY_PEER', SSL_verifycn_scheme => 'imap'

irgendwas helfen?
Muss ich zuerst einen IO::Socket::SSL mit den Optionen erstellen?

Das OS ist leider ein Centos6.6 mit Perl 5.10.1 aber per CPAN auf jeden Fall auf das neueste was geht upgedatet.
Mit einem Perl basierten Programm names 'imapsync' funktioniert es. Leider bin ich zu 'doof' die richtigen Programmteile zu benutzen und das nachzubauen.

Hoffe mir kann jemand helfen.

Danke.

CAT
Last edited: 2015-08-03 17:17:00 +0200 (CEST)
- +7 replies
- GwenDragon
  
  2015-08-03 17:46
  User since
  2005-01-17
  14748 Artikel
  Admin1
  //EDIT:
  Bei einem selbstsignierten ~~muss~~ könntest du die Prüfung für das Zertifikat abschalten (ist aber dann aber unsicheres SSL).
  Sinnvoller ist es das selbstsignierte Zertifikat mit einer eigenen Zertifikatsdatei im PEM-Format einzubinden.
  Dazu benutzt du den Parameter SSL_ca_file.
  
  Ein eigenes Socket dazu nehmen wie beschrieben https://metacpan.org/pod/Mail::IMAPClient#Socket
  dort die Parameter bei IO::Socket::SSL->new setzen.
  
  Code: (dl )
  
  1 2 3 4 5 6 7
  
  IO::Socket::SSL->new ( ... # SSL_verify_mode => 'SSL_VERIFY_NONE', # nur zum Test probieren, ist sonst zu unsicher SSL_ca_file => 'server.de.pem', # Zertifikat eibinden SSL_verifycn_scheme => 'imap*, ... );
  
  Ungetestet.
  Last edited: 2015-10-09 08:58:21 +0200 (CEST)
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - +4 replies
  - cat1510
    
    2015-08-03 23:57
    User since
    2015-08-03
    2 Artikel
    BenutzerIn
    
    Cool Gwen,
    
    hat schon funktioniert. :)
    Code sieht nun so aus:
    
    Code: (dl )
    
    1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33
    
    # Always be safe use strict; use warnings; # Use the module use Mail::IMAPClient; use IO::Socket::SSL; my $imap = Mail::IMAPClient->new( User => 'xxxxxxx', Password => 'xxxxxxxx', Uid => 1, Debug => 1, Socket => IO::Socket::SSL->new ( Proto => 'tcp', PeerAddr => 'server.name.de', PeerPort => 993, SSL_verify_mode => 'SSL_VERIFY_PEER', SSL_verifycn_scheme => 'imap', ), ) or die "IMAP Failure: $@"; # $imap->Socket($ssl); # $imap->connect; my $folders = $imap->folders or die "List folders error: ", $imap->LastError, "\n"; print "Folders: @$folders\n"; $imap->logout or die "Logout error: ", $imap->LastError, "\n";
    
    Vielen Dank fuer den Schubs in die richtige Richtung.
    
    CAT
    - +3 replies
    - Kean
      
      2015-10-02 15:37
      
      User since
      2004-08-18
      463 Artikel
      BenutzerIn
      
      Genau das gleiche Problem hatte ich auch gerade. Vielen Dank für die Lösung!!!
      
      Ich erhielt allerdings mit dem Lösungscode den Fehler SSL_verify_mode must be a number and not a string at C:/Perl/site/lib/IO/Socket/SSL.pm line 2154 und musste SSL_verify_mode => 0, setzen. Vermutlich nutzen wir unterschiedliche Versionen von IO::Socket::SSL (bei mir Version 2.020).
      - +2 replies
      - GwenDragon
        
        2015-10-02 15:52
        
        User since
        2005-01-17
        14748 Artikel
        Admin1
        
        Werte für SSL_verify_mode sind mittlerweile eine vordefinierte Konstanten namens SSL_VERIFY_.... in IO::SOcket::SSL, da war meiner Erinnerung früher mal eine Zeichenkette möglich.
        Last edited: 2015-10-02 15:56:25 +0200 (CEST)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        noxxi
        
        2015-10-08 23:15
        
        User since
        2015-04-07
        18 Artikel
        BenutzerIn
        
        Früher wurde nicht rumgemeckert wenn man eine Zeichenkette eingegeben hatte aber möglich war es trotzdem nicht. Stattdessen wurde jeder String einfach als Zahl betrachtet, d.h. sowohl "VERIFY_NONE" war 0 wie auch "VERIFY_PEER". Und letzteres würde bedeuten, dass man die Verifikation ausschaltet, obwohl man sie doch anhaben will. Da ich den Fehler an mehreren Stellen gesehen habe (Module, Stackoverflow...) habe ich sichergestellt, dass man hier keinen String mehr fälschlicherweise eingeben kann.
  - +2 replies
  - noxxi
    
    2015-10-08 23:18
    
    User since
    2015-04-07
    18 Artikel
    BenutzerIn
    
    Auch bei einem selbstsignierten Zertifikat sollte man die Prüfung nicht abschalten, da die Verbindung sonst offen für Man-In-the-Middle Angriffe ist. Ein Weg ist es das Zertifikat in den Zertifikatsstore aufzunehmen und damit als vertrauenswürdig zu kennzeichnen (Option SSL_ca_file). Eine andere Möglichkeit ist es den Fingerprint des Zertifikats zur Kontrolle zu benutzen (Option SSL_fingerprint).
    - GwenDragon
      
      2015-10-09 08:49
      
      User since
      2005-01-17
      14748 Artikel
      Admin1
      
      Ja, mein Tipp kann eine arge Sicherheitslücke werden!
      Du hast Recht, das Zertifikat sollte über die Angabe der eigene Zertifikatsdatei als Parameter SSL_ca_file eingebunden werden.
      
      Das ist aber nur einfach möglich, wenn der Client auch Zugriff auf das Zertifikat hat. OK, es lässt sich notfalls das Zertifikat auch mit openssl extrahieren.
      
      openssl s_client -connect server.name.de:993 | openssl.exe x509 -outform pem > server.name.de.cert.pem
      Last edited: 2015-10-09 08:51:04 +0200 (CEST)
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten

View all threads created 2015-08-03 16:47.