Нет соединения с веб-сервером по HTTPS / Unix-системы

ReSQL.ru

Мобильная версия Контакт Правила FAQ Помощь

Гость

Войти | Регистрация | Профиль | Очистить

Новые сообщения | Избранное

Форумы | Пользователи | Статистика | Мод. лог | Поиск

Доб. в избранное | Игнор. тему | Прикреп. тему | Пометить прочит. / непрочит. | Фильтр

Форумы / Unix-системы [игнор отключен] [закрыт для гостей] / Нет соединения с веб-сервером по HTTPS

10 сообщений из 10, страница 1 из 1

Нет соединения с веб-сервером по HTTPS

#39905230

AziAd

Гость

Не проходит соединение с веб-сервером https://stat.gov.kz, игнорируя SSL.

Код: powershell

1.
2.
3.
4.
5.

# curl -X GET -v -k -i 'https://stat.gov.kz'
* About to connect() to stat.gov.kz port 443 (#0)
*   Trying 93.185.74.116...
* Connected to stat.gov.kz (93.185.74.116) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb

curl останавливается на "Initializing NSS with certpath" до бесконечности и дальше ничего не происходит.

Код: powershell

1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.

# wget --no-check-certificate -d 'https://stat.gov.kz'
DEBUG output created by Wget 1.14 on linux-gnu.

URI encoding = ‘UTF-8’
Converted file name 'index.html' (UTF-8) -> 'index.html' (UTF-8)
Converted file name 'index.html' (UTF-8) -> 'index.html' (UTF-8)
--2019-12-19 11:47:46--  https://stat.gov.kz/
Resolving stat.gov.kz (stat.gov.kz)... 93.185.74.116
Caching stat.gov.kz => 93.185.74.116
Connecting to stat.gov.kz (stat.gov.kz)|93.185.74.116|:443... connected.
Created socket 3.
Releasing 0x0000000000fbc9b0 (new refcount 1).
Initiating SSL handshake.

wget также замирает на хэндшейке.

CentOS Linux release 7.7.1908 (3.10.0-957.21.3.el7.x86_64) (Core) с последними обновлениями.

Код: powershell

1.
2.
3.
4.
5.
6.
7.
8.

# curl -V
curl 7.29.0 (x86_64-redhat-linux-gnu) libcurl/7.29.0 NSS/3.44 zlib/1.2.7 libidn/1.28 libssh2/1.8.0
Protocols: dict file ftp ftps gopher http https imap imaps ldap ldaps pop3 pop3s rtsp scp sftp smtp smtps telnet tftp
Features: AsynchDNS GSS-Negotiate IDN IPv6 Largefile NTLM NTLM_WB SSL libz unix-sockets

# wget -V
GNU Wget 1.14 built on linux-gnu.
+digest +https +ipv6 +iri +large-file +nls +ntlm +opie +ssl/openssl

Подозреваю, что на ресурсе stat.gov.kz установлен нетрастовый сертификат, но почему тогда не проходит curl с параметром -k. На любой другой сервер коннект благополучно проходит. В чем засада?

...

Рейтинг:

0 / 0

19.12.2019, 08:55

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905233

AziAd

Гость

Забыл добавить, что со второго аналогичного сервера с этой же ОСью и обновлениями проблема такая же.
С хоста с CentOS release 6.10 (Final) 2.6.32-754.17.1.el6.x86_64 коннект проходит без проблем.

...

Рейтинг:

0 / 0

19.12.2019, 09:04

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905237

Basil A. Sidorov

Участник

Сообщения: 11 633

Рейтинг: 0 / 0

csptest -tlsc -verbose -save server stat.gov.kz

Код: plaintext

1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
45.
46.
47.
48.
49.
50.
51.

12 algorithms supported:
     Aglid  Class  OID
[00] 0x660e 0x6000
[01] 0x6610 0x6000
[02] 0x6801 0x6000 1.2.840.113549.3.4 (rc4)
[03] 0x6603 0x6000 1.2.840.113549.3.7 (3des)
[04] 0x6601 0x6000 1.3.14.3.2.7 (des)
[05] 0x8003 0x8000 1.2.840.113549.2.5 (md5)
[06] 0x8004 0x8000 1.3.14.3.2.26 (sha1)
[07] 0x2400 0x2000 1.2.840.113549.1.1.1 (RSA)
[08] 0xaa02 0xa000 1.2.840.113549.1.9.16.3.5 (ESDH)
[09] 0xae06 0xa000
[10] 0x2200 0x2000 1.2.840.10040.4.1 (DSA)
[11] 0x2203 0x2000
Cipher strengths: 256..256
Supported protocols: 0x200a0:
    Secure Sockets Layer 3.0 client side
    Transport Layer Security 1.0 client side
    Datagram Transport Layer Security client side
dwProtocolMask: 0x800a0aaa
Protocol version: 3.1
ClientHello: RecordLayer: TLS, Len: 122
Cipher Suites: (ff 85) (00 81) (c0 14) (c0 13) (00 39) (00 33) (00 35) (00 2f) (c0 0a) (c0 09) (00 38) (00 32) (00 0a) (00 13) (00 05) (00 04) 
127 bytes of handshake data sent
2343 bytes of handshake data received
134 bytes of handshake data sent
59 bytes of handshake data received
Handshake was successful
SECPKG_ATTR_CIPHER_INFO: Protocol: 301, Suite: C014 (TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256)
SECPKG_ATTR_CIPHER_INFO: Cipher: (AES), Len: 256, BlockLen: 16
SECPKG_ATTR_CIPHER_INFO: Hash: (SHA1), Len: 160
SECPKG_ATTR_CIPHER_INFO: Exchange: (ECDH_P256), MinLen: 256, MaxLen: 256
SECPKG_ATTR_CIPHER_INFO: Certificate: (RSA), KeyType: 17
SECPKG_ATTR_NAMES: CN=STAT.GOV.KZ, SERIALNUMBER=IIN801224400556, C=KZ, L=НУР-СУЛТАН, S=НУР-СУЛТАН, O="РЕСПУБЛИКАНСКОЕ ГОСУДАРСТВЕННОЕ УЧРЕЖДЕНИЕ ""КОМИТЕТ ПО СТАТИСТИКЕ МИНИСТЕРСТВА НАЦИОНАЛЬНОЙ ЭКОНОМИКИ РЕСПУБЛИКИ КАЗАХСТАН""", OU=BIN141040006851, E=B.IMANBAEVA@ECONOMY.GOV.KZ
SECPKG_ATTR_PACKAGE_INFO# fCapabilities: 0x107B3
SECPKG_ATTR_PACKAGE_INFO# wVersion: 1
SECPKG_ATTR_PACKAGE_INFO# wRPCID: 14
SECPKG_ATTR_PACKAGE_INFO# cbMaxToken: 24576
SECPKG_ATTR_PACKAGE_INFO# Name: Schannel
SECPKG_ATTR_PACKAGE_INFO# Comment: Schannel Security Package

Server certificate:
Subject: CN=STAT.GOV.KZ, SERIALNUMBER=IIN801224400556, C=KZ, L=НУР-СУЛТАН, S=НУР-СУЛТАН, O="РЕСПУБЛИКАНСКОЕ ГОСУДАРСТВЕННОЕ УЧРЕЖДЕНИЕ ""КОМИТЕТ ПО СТАТИСТИКЕ МИНИСТЕРСТВА НАЦИОНАЛЬНОЙ ЭКОНОМИКИ РЕСПУБЛИКИ КАЗАХСТАН""", OU=BIN141040006851, E=B.IMANBAEVA@ECONOMY.GOV.KZ
Valid  : 14.10.2019 12:31:13 - 13.10.2020 12:31:13 (UTC)
Issuer : C=KZ, CN=ЛТТЫ КУЛАНДЫРУШЫ ОРТАЛЫ (RSA)
Error 0x800b0109 (CERT_E_UNTRUSTEDROOT) returned by CertVerifyCertificateChainPolicy!
An error occurred in running the program.
WebClient.c:769:Error authenticating server credentials!
Error number 0x800b0109 (-2146762487).
Цепочка сертификатов обработана, но обработка прервана на корневом сертификате, у которого отсутствует отношение доверия с поставщиком доверия.

Цепочка должна строиться до корневого сертификата.
Если сервер не возвращает всю цепочку, то требуется ручками внести корневой, промежуточные и их списки отзыва в хранилище компьютера или конкретного пользователя.

...

Рейтинг:

0 / 0

19.12.2019, 09:13

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905287

AziAd

Гость

Basil A. Sidorov

Что пытался сделать:
1) Скачать сертификат с stat.gov.kz и выполнить с ним curl:

Код: sql

1.
2.
3.
4.
5.
6.
7.
8.
9.

# echo quit | openssl s_client -showcerts -servername "stat.gov.kz" -connect "stat.gov.kz":443 > statgovkzcert.pem

# curl -v --cacert statgovkzcert.pem 'https://stat.gov.kz'
* About to connect() to stat.gov.kz port 443 (#0)
*   Trying 93.185.74.116...
* Connected to stat.gov.kz (93.185.74.116) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /root/statgovkzcert.pem
  CApath: none

Опять зависание... Кстати, сохранить сертификат первой командой тоже не получилось, пришлось это сделать с другого сервера с CentOS 6.

2) Пытался скачать сертификат Национального удостоверяющего центра, который выпустил этот сертификат для stat.gov.kz и подключить его в курл ( http://pki.gov.kz/cert/nca_rsa.crt ), предварительно преобразовав в pem формат:

Код: sql

1.
2.
3.
4.
5.
6.
7.
8.
9.

# openssl x509 -inform DER -in nca_rsa.crt -out nca_rsa.pem -text

# curl -v --cacert nca_rsa.pem 'https://stat.gov.kz'
* About to connect() to stat.gov.kz port 443 (#0)
*   Trying 93.185.74.116...
* Connected to stat.gov.kz (93.185.74.116) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /root/nca_rsa.pem
  CApath: none

Результат тот же.

И все таки не дает покоя вопрос, почему не проходит curl --insecure без проверки сертификата?

...

Рейтинг:

0 / 0

19.12.2019, 10:47

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905315

AziAd

Гость

Попробовал вручную выгрузить из Firefox три сертификата в pem формате с ресурса stat.gov.kz:
1) НЕГІЗГІ КУӘЛАНДЫРУШЫ ОРТАЛЫҚ (RSA)
2) ҰЛТТЫҚ КУӘЛАНДЫРУШЫ ОРТАЛЫҚ (RSA)
3) STAT.GOV.KZ

Скопировал в /etc/pki/ca-trust/source/anchors и выполнил команду update-ca-trust. Безрезультатно.

Код: sql

1.
2.
3.
4.
5.
6.
7.

# curl -v 'https://stat.gov.kz'
* About to connect() to stat.gov.kz port 443 (#0)
*   Trying 93.185.74.116...
* Connected to stat.gov.kz (93.185.74.116) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: /etc/pki/tls/certs/ca-bundle.crt
  CApath: none

Дальше не продвигается... :(

...

Рейтинг:

0 / 0

19.12.2019, 11:16

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905840

Scott Tiger

Участник

Откуда: вмваре

Сообщения: 6 210

Рейтинг: 0 / 0

AziAd, попробуйте

Код: plaintext

$ curl -v --cacert kz.pem  https://stat.gov.kz

, используя приложенный к сообщению pem-файл. Это конкатенация сертификатов "НЕГІЗГІ КУӘЛАНДЫРУШЫ ОРТАЛЫҚ (RSA)" и "ҰЛТТЫҚ КУӘЛАНДЫРУШЫ ОРТАЛЫҚ (RSA)" в pem-формате. У меня всё работает.

...

Рейтинг:

0 / 0

19.12.2019, 23:56

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905846

Scott Tiger

Участник

Откуда: вмваре

Сообщения: 6 210

Рейтинг: 0 / 0

Код: plaintext

1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.
30.
31.
32.
33.
34.
35.
36.
37.
38.
39.
40.
41.
42.
43.
44.
45.
46.
47.
48.

$ curl -v --cacert kz.pem 'https://stat.gov.kz'
...
*   Trying 93.185.74.116...
* TCP_NODELAY set
* Failed to set TCP_KEEPALIVE on fd 4
* Expire in 200 ms for 4 (transfer 0x875c284f0)
* Connected to stat.gov.kz (93.185.74.116) port 443 (#0)
* ALPN, offering h2
* ALPN, offering http/1.1
* Cipher selection: ALL:!EXPORT:!EXPORT40:!EXPORT56:!aNULL:!LOW:!RC4:@STRENGTH
* successfully set certificate verify locations:
*   CAfile: kz.pem
  CApath: /etc/openssl/certs
* TLSv1.2 (OUT), TLS header, Certificate Status (22):
* TLSv1.2 (OUT), TLS handshake, Client hello (1):
* TLSv1.2 (IN), TLS handshake, Server hello (2):
* TLSv1.2 (IN), TLS handshake, Certificate (11):
* TLSv1.2 (IN), TLS handshake, Server key exchange (12):
* TLSv1.2 (IN), TLS handshake, Server finished (14):
* TLSv1.2 (OUT), TLS handshake, Client key exchange (16):
* TLSv1.2 (OUT), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (OUT), TLS handshake, Finished (20):
* TLSv1.2 (IN), TLS change cipher, Change cipher spec (1):
* TLSv1.2 (IN), TLS handshake, Finished (20):
* SSL connection using TLSv1.2 / ECDHE-RSA-AES256-GCM-SHA384
* ALPN, server accepted to use http/1.1
* Server certificate:
*  subject: CN=STAT.GOV.KZ; serialNumber=IIN801224400556; C=KZ; L=\U041D\U0423\U0420-\U0421\U0423\U041B\U0422\U0410\U041D; ST=\U041D\U0423\U0420-\U0421\U0423\U041B\U0422\U0410\U041D; O=\U0420\U0415\U0421\U041F\U0423\U0411\U041B\U0418\U041A\U0410\U041D\U0421\U041A\U041E\U0415 \U0413\U041E\U0421\U0423\U0414\U0410\U0420\U0421\U0422\U0412\U0415\U041D\U041D\U041E\U0415 \U0423\U0427\U0420\U0415\U0416\U0414\U0415\U041D\U0418\U0415 "\U041A\U041E\U041C\U0418\U0422\U0415\U0422 \U041F\U041E \U0421\U0422\U0410\U0422\U0418\U0421\U0422\U0418\U041A\U0415 \U041C\U0418\U041D\U0418\U0421\U0422\U0415\U0420\U0421\U0422\U0412\U0410 \U041D\U0410\U0426\U0418\U041E\U041D\U0410\U041B\U042C\U041D\U041E\U0419 \U042D\U041A\U041E\U041D\U041E\U041C\U0418\U041A\U0418 \U0420\U0415\U0421\U041F\U0423\U0411\U041B\U0418\U041A\U0418 \U041A\U0410\U0417\U0410\U0425\U0421\U0422\U0410\U041D"; OU=BIN141040006851; emailAddress=B.IMANBAEVA@ECONOMY.GOV.KZ
*  start date: Oct 14 12:31:13 2019 GMT
*  expire date: Oct 13 12:31:13 2020 GMT
*  subjectAltName: host "stat.gov.kz" matched cert's "stat.gov.kz"
*  issuer: C=KZ; CN=\U04B0\U041B\U0422\U0422\U042B\U049A \U041A\U0423\U04D8\U041B\U0410\U041D\U0414\U042B\U0420\U0423\U0428\U042B \U041E\U0420\U0422\U0410\U041B\U042B\U049A (RSA)
*  SSL certificate verify ok.
> GET / HTTP/1.1
> Host: stat.gov.kz
> User-Agent: curl/7.64.0-DEV
> Accept: */*
>
< HTTP/1.1 200 OK
< Server: nginx/1.16.1
< Date: Thu, 19 Dec 2019 20:51:43 GMT
...

$ curl -V
curl 7.64.0-DEV (x86_64-pc-solaris2.11) libcurl/7.64.0-DEV OpenSSL/1.0.2r zlib/1.2.11 libidn2/2.0.4 libssh2/1.7.0 nghttp2/1.35.0
Release-Date: [unreleased]
Protocols: dict file ftp ftps gopher http https imap imaps ldap ldaps pop3 pop3s rtsp scp sftp smb smbs smtp smtps telnet tftp
Features: AsynchDNS IDN IPv6 Largefile GSS-API Kerberos SPNEGO NTLM NTLM_WB SSL libz TLS-SRP HTTP2 UnixSockets HTTPS-proxy

...

Рейтинг:

0 / 0

20.12.2019, 00:04

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905898

AziAd

Гость

Scott Tiger, результат:

Код: sql

1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.

# curl -v --cacert kz.pem 'https://stat.gov.kz'
* About to connect() to stat.gov.kz port 443 (#0)
*   Trying 93.185.74.116...
* Connected to stat.gov.kz (93.185.74.116) port 443 (#0)
* Initializing NSS with certpath: sql:/etc/pki/nssdb
*   CAfile: kz.pem
  CApath: none
* NSS error -5961 (PR_CONNECT_RESET_ERROR)
* TCP connection reset by peer
* Closing connection 0
curl: (35) TCP connection reset by peer

Поднял на своем компе виртуалку с идентичной системой, там все работает.

Пришел к выводу, что stat.gov.kz заблочили мою подсеть. Но, что интересно, коннект то проходит, а когда идет проверка сертификатов происходит затык. Даже по telnet stat.gov.kz 443 проваливается успешно. Блокируют на каком-то прикладном уровне? безысходность какая-то..

Как можно точно в этом убедиться? Пробовал curl, wget, openssl --connect.

...

Рейтинг:

0 / 0

20.12.2019, 06:11

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39905901

crutchmaster

Участник

Откуда: оттуда.

Сообщения: 2 141

Рейтинг: 0 / 0

>curl -X GET -v -k -i 'https://stat.gov.kz'
...
HTTP/1.1 200 OK
...

УМВР. Use vpn.

...

Рейтинг:

0 / 0

20.12.2019, 06:24

| Ответить | Цитировать | Написать

Нет соединения с веб-сервером по HTTPS

#39906113

Scott Tiger

Участник

Откуда: вмваре

Сообщения: 6 210

Рейтинг: 0 / 0

AziAd, проще всего связаться с webmaster@ , думаю.

...

Рейтинг:

0 / 0

20.12.2019, 13:38

| Ответить | Цитировать | Написать

10 сообщений из 10, страница 1 из 1

Форумы / Unix-системы [игнор отключен] [закрыт для гостей] / Нет соединения с веб-сервером по HTTPS

Цитировать

Написать

Автор*:

Ввести пароль для входа

Тема*:

Сообщение

Данное сообщение тематическое

Сообщение содержит картинки или видео 18+

Автор:

ВНИМАНИЕ! На данном подфоруме действуют строгие правила. Удостоверьтесь, что ваше сообщение соответствует им!

Форум или тема закрыты для гостей. Необходима авторизация!

Загрузить последнюю сохраненную версию

Вложение:

Вставить как галерею

Максимальный размер вложений: 4,0 МБ, аудио/видео: 8,0 МБ. Картинки большего размера ужимаются, если возможно.

Введите код, изображенный на картинке. Если код нечитаемый, кликните картинку, чтобы загрузить другой вариант.

Отправляя сообщение, я выражаю свое согласие с правилами форума и принимаю пользовательское соглашение.

Читали тему (0):

Читали форум (0):

Пользователи онлайн (0):

start [/forum/topic.php?fid=25&tid=1481078]:	0ms
get settings:	8ms
get forum list:	12ms
check forum access:	3ms
check topic access:	3ms
track hit:	40ms
get topic data:	11ms
get forum data:	2ms
get page messages:	42ms
get tp. blocked users:	2ms
others:	12ms

total:	135ms