[IO::Socket::SSL] Failed to use private key (gelöst) (Fragen zu Perl-Modulen)

[thread]19847[/thread]

[IO::Socket::SSL] Failed to use private key [gelöst]

Tags: perl5 IO::Socket::SSL Ähnliche Threads

Leser: 13

Articles: hide open all | hide show old branches

+22 replies
bianca

2015-10-14 19:11
User since
2009-09-13
7016 Artikel
BenutzerIn
Umgebung: Win7 64 Bit Strawberry 5.18.4

Script:
Code (perl): (dl )

1 2 3 4 5 6 7 8 9 10 11 12 13

#!/usr/bin/perl use strict; use warnings; use Net::FTP 3.07; use Net::FTP::File 0.06 ; use IO::Socket::SSL 2.012; use Net::SSLeay 1.68; my $ftp = Net::FTP->new( 'hosturl', Timeout => 10, SSL_cert_file => 'cacert.pem', # dies ist die Datei aus Mozilla::CA Version 20150826 ) or do { print "\$@ = '$@'"; exit(); }
Ausgabe:
Quote
d:\meinvers>perl -MIO::Socket::SSL=debug4 test_ftp.pl
DEBUG: .../IO/Socket/SSL.pm:1791: Failed to use private key
SSL error: 1896: 1 - error:0D08303A:asn1 encoding routines:ASN1_TEMPLATE_NOEXP_D2I:nested asn1 error
SSL error: 1896: 2 - error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag
SSL error: 1896: 3 - error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error
SSL error: 1896: 4 - error:04093004:rsa routines:OLD_RSA_PRIV_DECODE:RSA lib
SSL error: 1896: 5 - error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag
SSL error: 1896: 6 - error:0D07803A:asn1 encoding routines:ASN1_ITEM_EX_D2I:nested asn1 error
SSL error: 1896: 7 - error:140B000D:SSL routines:SSL_CTX_use_PrivateKey_file:ASN1 lib

DEBUG: .../IO/Socket/SSL.pm:1796: Failed to use private key error:0D0680A8:asn1 encoding routines:ASN1_CHECK_TLEN:wrong tag

Welches Problem liegt hier vor?
10 print "Hallo"
20 goto 10
- +19 replies
- noxxi
  
  2015-10-15 06:07
  
  User since
  2015-04-07
  18 Artikel
  BenutzerIn
  
  2015-10-14T17:11:43 bianca
  ...
  SSL_cert_file => 'cacert.pem', # dies ist die Datei aus Mozilla::CA Version 20150826
  ...
  DEBUG: .../IO/Socket/SSL.pm:1791: Failed to use private key
  ...
  
  Welches Problem liegt hier vor?
  
  SSL_cert_file wird benutzt um das lokale Zertifikat anzugeben, d.h. wenn man Clientzertifikate nutzen will. Und dann sucht er natürlich nach dem passenden private Key, der für das lokale Zertifikate da sein muss, und findet ihn nicht.
  
  Um die trusted Root-CA anzugeben muss man SSL_ca_file bzw. SSL_ca_key benutzen.
  - bianca
    
    2015-10-15 10:30
    
    User since
    2009-09-13
    7016 Artikel
    BenutzerIn
    
    Vielen vielen Dank noxxi!
    Zertifikate und Zeichencodierungen sind meine Lieblingsthemen :(
    Klappt mit SSL_ca_file.
    10 print "Hallo"
    20 goto 10
  - +17 replies
  - bianca
    
    2015-10-15 11:35
    User since
    2009-09-13
    7016 Artikel
    BenutzerIn
    
    OK, ich war zu voreilig. Der Connect klappt jetzt aber ->starttls() leider nicht.
    
    Code (perl): (dl )
    
    1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
    
    #!/usr/bin/perl use strict; use warnings; use Net::FTP 3.07; use Net::FTP::File 0.06; # perl -MIO::Socket::SSL=debug4 test_ftp.pl my $ftp = Net::FTP->new( 'hosturl', Timeout => 10, SSL_ca_file => 'mozilla_cacert.pem', # dies ist die Datei aus Mozilla::CA Version 20150826 debug => 1, ) or do { print "\$@ = '$@'"; exit(); }; $ftp->starttls() or print "mist";
    
    Quote
    DEBUG: .../IO/Socket/SSL.pm:2602: new ctx 38895600
    DEBUG: .../IO/Socket/SSL.pm:542: socket not yet connected
    DEBUG: .../IO/Socket/SSL.pm:544: socket connected
    DEBUG: .../IO/Socket/SSL.pm:566: ssl handshake not started
    DEBUG: .../IO/Socket/SSL.pm:599: using SNI with hostname hosturl
    DEBUG: .../IO/Socket/SSL.pm:634: request OCSP stapling
    DEBUG: .../IO/Socket/SSL.pm:653: set socket to non-blocking to enforce timeout=10
    DEBUG: .../IO/Socket/SSL.pm:667: Net::SSLeay::connect -> -1
    DEBUG: .../IO/Socket/SSL.pm:677: ssl handshake in progress
    DEBUG: .../IO/Socket/SSL.pm:687: waiting for fd to become ready: SSL wants a read first
    DEBUG: .../IO/Socket/SSL.pm:707: socket ready, retrying connect
    DEBUG: .../IO/Socket/SSL.pm:2505: did not get stapled OCSP response
    DEBUG: .../IO/Socket/SSL.pm:667: Net::SSLeay::connect -> -1
    DEBUG: .../IO/Socket/SSL.pm:677: ssl handshake in progress
    DEBUG: .../IO/Socket/SSL.pm:687: waiting for fd to become ready: SSL wants a read first
    DEBUG: .../IO/Socket/SSL.pm:707: socket ready, retrying connect
    DEBUG: .../IO/Socket/SSL.pm:2458: ok=1 cert=44777104
    DEBUG: .../IO/Socket/SSL.pm:2458: ok=1 cert=45582208
    DEBUG: .../IO/Socket/SSL.pm:2458: ok=1 cert=45581824
    DEBUG: .../IO/Socket/SSL.pm:2458: ok=1 cert=45581632
    DEBUG: .../IO/Socket/SSL.pm:1570: scheme=ftp cert=45581632
    DEBUG: .../IO/Socket/SSL.pm:1580: identity=hosturl cn=*.xxxx .com alt=2 *.xxxx .com 2 xxxx .com
    DEBUG: .../IO/Socket/SSL.pm:1780: hostname verification failed
    DEBUG: .../IO/Socket/SSL.pm:667: Net::SSLeay::connect -> -1
    DEBUG: .../IO/Socket/SSL.pm:1791: SSL connect attempt failed
    
    DEBUG: .../IO/Socket/SSL.pm:1796: SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
    DEBUG: .../IO/Socket/SSL.pm:673: fatal SSL error: SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
    DEBUG: .../IO/Socket/SSL.pm:2635: free ctx 38895600 open=38895600
    DEBUG: .../IO/Socket/SSL.pm:2640: free ctx 38895600 callback
    DEBUG: .../IO/Socket/SSL.pm:2647: OK free ctx 38895600
    mist
    
    Was ist jetzt falsch?
    
    Meine Vermutung ist, dass das Zertifikat nicht im Speicher ist. Stimmt das? Es handelt sich um das Wurzelzertifikat vom Comodo. Und wenn ich die Webseite des Ziels mit Chrome öffne und das Zertifikat als Base64 in eine .cer Datei exportiere und hier einbinde bleibt der Fehler genau so bestehen. Das ändert nichts.
    
    Und wenn ich das Zertifikat als .p7b Datei mit allen Zertifikaten im Zertifizierungspfad exportiere bekomme ich nur ein
    Quote
    DEBUG: .../IO/Socket/SSL.pm:1796: Invalid certificate authority locations
    $@ = ''
    
    Was mache ich falsch?
    10 print "Hallo"
    20 goto 10
    - +3 replies
    - GwenDragon
      
      2015-10-15 13:02
      
      User since
      2005-01-17
      14760 Artikel
      Admin1
      
      Es steht doch da, dass der Hostname, mit dem du den FTP-Server ansprichst, nicht zum Zertifikat passt.
      
      Du kannst den Hostname, der bei SSL verwendet wird, setzen (Beispiel)
      
      Code: (dl )
      
      SSL_hostname => 'mx.example.com'
      
      die Drachin Gwen
      
      Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
      - +2 replies
      - bianca
        
        2015-10-15 20:18
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        Danke dir. Aber was soll ich da einsetzen?
        Wenn ich FTP mit dem Total Commander mache wird der URL ftps://meinhost .de verwendet. Und egal ob ich es so oder www.meinhost .de oder meinhost .de schreibe, die Fehlermeldung bleibt unverändert.
        Was kann ich noch versuchen?
        10 print "Hallo"
        20 goto 10
        
        GwenDragon
        
        2015-10-16 10:03
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        Den Hostnamen, der im Zertifikat drin steht!
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
    - +4 replies
    - bianca
      
      2015-10-16 05:59
      
      User since
      2009-09-13
      7016 Artikel
      BenutzerIn
      
      noxxi würdest du mir nochmal helfen? Ich weiß hier nicht weiter.
      10 print "Hallo"
      20 goto 10
      - +2 replies
      - noxxi
        
        2015-10-16 22:15
        
        User since
        2015-04-07
        18 Artikel
        BenutzerIn
        
        Du benutzt einen Hostnamen in der URL, der nicht dem Hostnamen entspricht der im Zertifikat steht. Da ich keine Ahnung habe welchen Hostnamen du benutzt und welcher im Zertifikat steht kann ich da nicht wirklich sehen welchen Namen Du in der URL wirklich einsetzen muss. Aber beispielsweise match ftp.foo.example.com nicht *.example.com und ftp.example.com matcht auch kein Zertifikat für ftp.example.org.
        
        Code: (dl )
        
        DEBUG: .../IO/Socket/SSL.pm:1580: identity=hosturl cn=*.xxxx .com alt=2 *.xxxx .com 2 xxxx .com
        
        In dieser Zeile im debug findest Du welcher Name im Zertifikat steht. Und dementsprechend muss hosturl halt angepasst werden.
        
        bianca
        
        2015-10-18 09:03
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        Hmm, bei mir steht bei identity immer das, was ich als ersten Parameter bei Net::FTP->new() übergebe. Bin aber mit Recherche noch nicht fertig.
        10 print "Hallo"
        20 goto 10
      - GwenDragon
        
        2015-10-17 12:56
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        Siehe msg #182649
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
    - +9 replies
    - bianca
      
      2015-10-16 08:56
      
      User since
      2009-09-13
      7016 Artikel
      BenutzerIn
      
      Hab die andere Domain gefunden auf die das Zertifikat ausgestellt ist.
      
      Aber eine Frage noch zu SSL_VERIFY_CLIENT_ONCE(): was genau macht das? Was genau bedeutet
      Quote
      verify client once; ignored for clients
      ?
      Heißt das, das die Verbindung zwar verschlüssel ist aber der Hostname des Servers vom Client aus nicht geprüft wird?
      10 print "Hallo"
      20 goto 10
      - +8 replies
      - GwenDragon
        
        2015-10-16 10:07
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        http://www.openssl.org/docs/manmaster/ssl/SSL_CTX_set_verify.html#NOTES
        SSL_VERIFY_CLIENT_ONCE
        Server mode: only request a client certificate on the initial TLS/SSL handshake. Do not ask for a client certificate again in case of a renegotiation. This flag must be used together with SSL_VERIFY_PEER.
        
        Client mode: ignored
        
        Das bedeutet: gilt nur für eine Verbindung, bei der clientseitige Zertifikate verwendet werden.
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +7 replies
        
        bianca
        
        2015-10-16 10:31
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        2015-10-16T08:07:06 GwenDragon
        Das bedeutet: gilt nur für eine Verbindung, bei der clientseitige Zertifikate verwendet werden.
        
        Wenn es dabei um ein Clientzertifikat geht, wieso funktionieren dann Verbindungen zu Servern ohne Zertifikat erst wenn ich SSL_verify_mode=IO::Socket::SSL::SSL_VERIFY_CLIENT_ONCE() setze? Wo genau ist der Zusammenhang zwischen dem Server und diesem Parameter?
        10 print "Hallo"
        20 goto 10
        
        +6 replies
        
        GwenDragon
        
        2015-10-16 10:47
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        SSL_VERIFY_CLIENT_ONCE wird im Client-Modus ignoriert.
        
        Lässt sich nachlesen auf http://www.openssl.org/docs/manmaster/ssl/SSL_CTX_...
        Und auf Google Books https://books.google.de/books?id=RQUnBAAAQBAJ&lpg=...
        Last edited: 2015-10-16 10:54:42 +0200 (CEST)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +5 replies
        
        bianca
        
        2015-10-16 11:30
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        Danke für die Links aber ich verstehe das trotzdem nicht. Wenn der Parameter nur verhindert, dass ein Zert mehrfach geprüft wird wieso kommt dann nur mit dem Parameter eine Verbindung zustande?
        10 print "Hallo"
        20 goto 10
        
        GwenDragon
        
        2015-10-16 11:55
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        Welche Werte und wofür SSL_verify annehmen kann, steht doch auch in https://metacpan.org/pod/distribution/IO-Socket-SS...
        
        Kann ich mir nicht vorstellen, dass eine SSL-Verbindung Client -> Server nur dann zustande kommt, wenn du im Client SSL_VERIFY_CLIENT_ONCE setzt.
        
        Ein Beispiel?
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +3 replies
        
        GwenDragon
        
        2015-10-16 12:29
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        Ich halet es für ein Gerücht, dass damit der Connect nur damit klappt wie du sagst.
        
        Teste es einfach mal:
        
        Code (perl): (dl )
        
        1 2 3 4 5 6 7 8 9
        
        use Net::FTP 3.07; use IO::Socket::SSL 2.012 qw(debug1); use Net::SSLeay 1.68; my $ftp = Net::FTP->new( 'ftp.gwendragon.de', SSL_verify_mode => SSL_VERIFY_CLIENT_ONCE, ) or do { print "\$@ = '$@'"; exit(); }; $ftp->starttls;
        
        Bei mir kommt dann:
        DEBUG: .../IO/Socket/SSL.pm:735: local error: SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed DEBUG: .../IO/Socket/SSL.pm:738: fatal SSL error: SSL connect attempt failed error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
        Last edited: 2015-10-16 12:30:47 +0200 (CEST)
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
        
        +2 replies
        
        bianca
        
        2015-10-16 17:13
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        Ja, bei diesem Server verhält es sich gleich. Bei einem den ich ansteuere definitiv nicht.
        Ich geb dir per PN die Adresse.
        10 print "Hallo"
        20 goto 10
        
        GwenDragon
        
        2015-10-17 10:13
        
        User since
        2005-01-17
        14760 Artikel
        Admin1
        
        Mit der richtigen Domain für die Serveradresse anstatt der IP geht es doch wie ich in der PN schrieb.
        die Drachin Gwen
        
        Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
- +2 replies
- GwenDragon
  
  2015-10-19 17:11
  
  User since
  2005-01-17
  14760 Artikel
  Admin1
  
  Laut deiener PN hast du das Problem mit dem Hostname gelöst, oder.
  Ich setze mal auf gelöst.
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
  - bianca
    
    2015-10-19 18:31
    
    User since
    2009-09-13
    7016 Artikel
    BenutzerIn
    
    Ja ich glaube das ist gelöst. Danke dir.
    10 print "Hallo"
    20 goto 10

View all threads created 2015-10-14 19:11.