frolalex |
|
|
Статус: Новичок Группы: Участники Сказал(а) «Спасибо»: 1 раз |
Установлен CSP 3.9 а) Сертификат Личный Установлен Stunnel с таким конфигом: output=c:stunneltempstun.log Сервис стартует от конкретного юзера. 2015.10.19 10:02:52 LOG7[4068:3792]: https accepted FD=512 from 10.0.3.32:56232 Без Stunnel через IE зайти на https://icrs.nbki.ru/score получается. Получаю: HTTP Status 405 — HTTP method GET is not supported by this URL…. Вопрос, что надо для Stunnel надо сделать, чтобы избавиться от «Error 0x8009030d returned by AcquireCredentialsHandle»? |
 |
|
|
Андрей Писарев |
|
|
Статус: Сотрудник Группы: Участники Сказал «Спасибо»: 451 раз |
Цитата: Через «C:Program Files (x86)Common FilesCrypto ProSharedcerts.ru.msc» в личные импортирован: Цитата: Сервис стартует от конкретного юзера. КриптоПРО CSPСервисПротестироватьПо сертификату — есть в списке личный сертификат? |
|
Техническую поддержку оказываем тут |
|
|
|
WWW |
|
frolalex |
|
|
Статус: Новичок Группы: Участники Сказал(а) «Спасибо»: 1 раз |
Автор: Андрей * Цитата: Через «C:Program Files (x86)Common FilesCrypto ProSharedcerts.ru.msc» в личные импортирован: Цитата: Сервис стартует от конкретного юзера. КриптоПРО CSPСервисПротестироватьПо сертификату — есть в списке личный сертификат? При нажатии на «По сертификату…» Правильно я понимаю, что надо контейнер закрытого ключа перенести сначала в реестр? |
|
|
|
|
Андрей Писарев |
|
|
Статус: Сотрудник Группы: Участники Сказал «Спасибо»: 451 раз |
Автор: frolalex Автор: Андрей * Цитата: Через «C:Program Files (x86)Common FilesCrypto ProSharedcerts.ru.msc» в личные импортирован: Цитата: Сервис стартует от конкретного юзера. КриптоПРО CSPСервисПротестироватьПо сертификату — есть в списке личный сертификат? При нажатии на «По сертификату…» Правильно я понимаю, что надо контейнер закрытого ключа перенести сначала в реестр? У Вас есть пользовательский сертификат и контейнер с закрытым ключом? После пункта 1 — должно появиться имя контейнера автоматически, если личный сертификат был корректно установлен в Личное хранилище. |
|
Техническую поддержку оказываем тут |
|
|
|
WWW |
|
frolalex |
|
|
Статус: Новичок Группы: Участники Сказал(а) «Спасибо»: 1 раз |
Автор: Андрей * У Вас есть пользовательский сертификат и контейнер с закрытым ключом? После пункта 1 — должно появиться имя контейнера автоматически, если личный сертификат был корректно установлен в Личное хранилище. Пользовательского сертификата и контейнера нет. Соответственно, по доке не могу сделать, так как Ключевых контейнеров нет. Убрал ссылку на сертификат из conf. Дошел до handshake. буду дальше копать… 2015.10.20 11:00:33 LOG7[5276:4396]: https accepted FD=228 from 10.0.3.32:60933 |
|
|
|
|
Андрей Писарев |
|
|
Статус: Сотрудник Группы: Участники Сказал «Спасибо»: 451 раз |
Цитата: connect=icrs.nbki.ru:80 Почему? |
|
Техническую поддержку оказываем тут |
|
|
|
WWW |
|
|
frolalex
оставлено 20.10.2015(UTC) |
1 пользователь поблагодарил Андрей * за этот пост.|
frolalex |
|
|
Статус: Новичок Группы: Участники Сказал(а) «Спасибо»: 1 раз |
Автор: Андрей * Цитата: connect=icrs.nbki.ru:80 Почему? в IE добился открытия страницы: http://10.0.3.32:1500/score2 с такими CONF: output=c:stunneltempstun.log и с таким логом: Надеюсь кому-нибудь поможет. Андрей, огромное СПАСИБО! |
|
|
|
|
aakosenkov |
|
|
Статус: Новичок Группы: Участники
|
output=c:cryptoprostun.log клиента: Все сертификаты вставлены в личные и доверенные, контейнер без пароля. |
|
|
|
ca4server.cer.zip |
basid |
|
|
Статус: Активный участник Группы: Участники Сказал(а) «Спасибо»: 6 раз |
WSAEADDRNOTAVAIL 10049: Cannot assign requested address |
|
|
|
|
aakosenkov |
|
|
Статус: Новичок Группы: Участники
|
WSAEADDRNOTAVAIL 10049: Cannot assign requested address Невозможно присвоить требуемый адрес. Спасибо. может кто то помоч? |
|
|
|
| Пользователи, просматривающие эту тему |
|
Guest (2) |
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
Содержание
- Как исправить ошибку Windows 0x80090308 Ошибка 0x80090308
- Error 0x80090308 returned by initializesecuritycontext
- Answered by:
- Question
- SEC_E_INVALID_TOKEN (0x80090308) — Jetty HTTPS servlet
- 1 Answer 1
- Error 0x80090308 returned by initializesecuritycontext
- SCCM SP1 Provisioning Problem
- Error 0x80090308 returned by initializesecuritycontext
- SCCM SP1 Provisioning Problem
Как исправить ошибку Windows 0x80090308 Ошибка 0x80090308
В этой статье рассматривается ошибка 0x80090308, также известная как Ошибка 0x80090308 и означающая
Информация об ошибке
Имя ошибки: Ошибка 0x80090308
Номер ошибки: 0x80090308
Применимо к: Windows 10, 8, 7, Vista, XP
Описание:
Это средство исправления может устранить такие распространенные компьютерные ошибки, как BSODs, замораживание системы и сбои. Он может заменить отсутствующие файлы операционной системы и библиотеки DLL, удалить вредоносное ПО и устранить вызванные им повреждения, а также оптимизировать ваш компьютер для максимальной производительности.
Об ошибке Windows
Операционная система Windows сегодня используется миллионами пользователей персональных компьютеров и ноутбуков. И вполне вероятно, что большинство из них в свое время сталкивались с тем или иным типом ошибки Windows. Отчеты об ошибках были представлены компанией Microsoft для обеспечения средств сбора и отправки отладочной информации после ошибки или для применения шагов по устранению неполадок в зависимости от того, получил ли пользователь синтаксическую, логическую ошибку или ошибку времени выполнения.
Если пользователь получает код остановки, то вместе с сообщением об ошибке предоставляется краткая информация по устранению неполадок. Затем пользователь может найти конкретное сообщение об ошибке и применить исправление, предоставленное на сайтах поддержки Microsoft, а также в других доступных в Интернете статьях и журналах по данной теме.
В других случаях пользователь получает только уведомление о сбое компьютера, после чего ему предлагается отправить отчет о сбое в Microsoft. Это делается для сбора данных для анализа, чтобы компания Microsoft могла отправить пользователю решение проблемы.
Каким бы ни был случай, вот некоторые общие сведения об устранении неполадок, которые можно использовать для устранения ошибок Windows.
Симптомы 0x80090308 — Ошибка 0x80090308
Ошибки Windows можно классифицировать как синтаксические ошибки, логические ошибки или ошибки времени выполнения.
Когда пользователь получает синтаксическую ошибку, компьютер просто внезапно выдает сообщение об ошибке, что в фоновом режиме произошел сбой. Программы, к которым обращается пользователь, могут застопориться или полностью завершиться. Пользователь может продолжать использовать другие приложения, но время от времени появляется непонятное сообщение о том, что запущенная программа не может запуститься, потому что какой-то процесс не работает.
Ошибки времени выполнения происходят во время работы приложения. Поэтому, когда ошибка возникает, она просто происходит без предупреждения, и компьютер выдает уведомление о том, что произошла ошибка.
Логические ошибки связаны с программированием. Ошибка вызывает непреднамеренный вывод или поведение. Если говорить о компьютерных системах, которые прошли все испытания и поступили в продажу, то логические ошибки случаются только тогда, когда произошли значительные изменения в физическом состоянии логической платы. Возможно, часть шин расплавилась или возникла подобная ситуация. Это может привести к тому, что компьютер внезапно издаст громкий звуковой сигнал или скрежещущий звук, и даже может перейти к внезапной нестабильной работе, замерзнуть или резко изменить температуру перед фактическим сбоем.
(Только для примера)
Причины ошибок Ошибка 0x80090308 — 0x80090308
Ошибки Windows могут быть вызваны неисправностью аппаратных компонентов или повреждением ОС. Некоторые из них могут быть даже связаны с проблемами программирования, которые не были решены, поскольку ошибки не были устранены на этапе проектирования. Иногда ошибки Windows могут возникать из-за изменений, внесенных в компьютер.
Методы исправления
Для разных категорий ошибок Windows существуют разные шаги по устранению неполадок. Однако существуют общие шаги, которые можно применить, столкнувшись с этими ошибками. Вот они.
Если метод ремонта вам подошел, пожалуйста, нажмите кнопку upvote слева от ответа, это позволит другим пользователям узнать, какой метод ремонта на данный момент работает лучше всего.
Источник
Error 0x80090308 returned by initializesecuritycontext
This forum is closed. Thank you for your contributions.
Answered by:
Question
I have backend authentication problem when publishing WEB-application thru UAG.
Application based on Apache Tomcat for Windows, Apache authentication is configured for Kerberos (and not for NTLM).
I use local AD forest authentication on UAG both for trunk and for published applications.
UAG itself and backend server are the domain members.
When I select «401 request» authentication method for my published app, and try to access app from UAG portal — I get
«You do not have permissions to view this folder or page» error.
I checked the UAG traffic with Network Monitor and saw there is HTTP GET request from UAG to backend
and ‘401’ response from it with WWWauthenticate option = ‘Negotiate’ — and conversation stops.
When I open backend URL in IE (from UAG server) I see the same beginning in NM, but after ‘401’ response, UAG issues TGS request to KDC
and gets service ticket for SPN of my backend server and then passes this ticket in the next HTTP GET request — then web-server replies and all works fine.
So I assume that I should use «Kerberos Constraint Delegation» for SSO, and I configure UAG for it.
But when I open application in UAG portal I get the same error — «You do not have permissions to view this folder or page».
When I check traffic in NM I see after initial ‘401’ response from backend UAG requesting KDC for service
ticket for (my UAG machine account) service (why?) and then issues HTTP GET request with NTLM negotiate message —
which is not authorized by backend.
So what’s wrong with UAG? Is there the possibility to make it work in IE-like way, get and pass correct service ticket?
Источник
SEC_E_INVALID_TOKEN (0x80090308) — Jetty HTTPS servlet
I am trying to solve an issue with my Jetty servlet running over HTTPS.
This is an error in the browser:
This is an error in the curl:
This is my batch script to create Keystore and Truststore:
- keystore.jks and truststore.jks were copied to the directory of my project and code was written up to load these files.
- I started my servlet with jetty and tried to connect to https://example.com/ and mentioned error appears.
I don’t know what is wrong in my case, maybe someone more experienced with jetty and certificates will help.
Thank you so much!
1 Answer 1
Your ServerConnector doesn’t do anything with the SSL, at least not directly.
It merely supports HTTP/1.1 normal plaintext, no SSL, and relies on the JVM ServiceLoader to find the appropriate SslConnectionFactory based on your SslContextFactory.Server .
Since you didn’t specify what the classloader/classpath is for your environment, nor the specific version of Jetty, I would encourage you to be more direct with your ServerConnector and your SSL/TLS desires, don’t rely on the ServiceLoader if you don’t have to.
This will likely improve things for you, but without more details I cannot tell you exactly what happened or how to fix it.
Источник
Error 0x80090308 returned by initializesecuritycontext
Success! Subscription added.
Success! Subscription removed.
Sorry, you must verify to complete this action. Please click the verification link in your email. You may re-send via your profile.
- Intel Communities
- Product Support Forums
- Intel vPro® Platform
- Re: SCCM SP1 Provisioning Problem
SCCM SP1 Provisioning Problem
- Subscribe to RSS Feed
- Mark Topic as New
- Mark Topic as Read
- Float this Topic for Current User
- Bookmark
- Subscribe
- Mute
- Printer Friendly Page
- Mark as New
- Bookmark
- Subscribe
- Mute
- Subscribe to RSS Feed
- Permalink
- Report Inappropriate Content
Hoping someone here can help me out with a problem I’m having with provisioning our HP dc 7800 vPro pc’s.
Here’s the detail.
SCCM SP1, the dc7800’s are on bios 1.24 and mBex firmware 3.2.1, we’re using an internally issued provisioning cert as I’m still effectively piloting vPro at the moment so I was hoping to avoid buying a cert before I was sure of everything. So basically here’s what I’m doing, take one fresh PC, update bios and then update mbex to 3.2.1, login to mbex and add the hash of our provisioning cert, also required to change mbex password. I’m planning on using the in band provisioning method for the time being. I have correctly set the mbex password in the OOBM component configuration and I’m confident I have everything else set up correctly as two of my PC’s have managed to provision. Trouble is I can’t seem to get the remaining PC’s to provision even though they have beenh through the exact same setup process. They are showing as AMT Status: Detected rather than not provisioned which from what I’ve read means that SCCM knows they are ATM capable but is unable to login to the mbex to take the process any further. I have checked and double checked passwords both on the mbex’s and in the OOBM Provisioning Setting tabs and I’m positive they match.
When the provisioning attempt takes place I can see it in the antopmgr.log
I can see it attempt the account I’ve put the details for and I get these messages;
Warning: Currently we don’t support mutual auth. Change to TLS server auth mode.
The provision mode for device wks188.eicltd.com is 1.
Attempting to establish connection with target device using SOAP.
Warning: We don’t have an provision certificate with old recorded hash.
Create provisionHelper with (Hash: 8571F29DFEB197A0D034C3EFC6E319EF*****)
Set credential on provisionHelper.
Try to use provisioning account to connect target machine wks188.eicltd.com.
Attempting to try all provision certificate to connect target device.
Failed to send TLS client hello message to server with errorcode=0x2733.
Error 0x6feb95c returned by ApplyControlToken
Fail to connect and get core version of machine wks188.eicltd.com using provisioning account # 0.
Then it tries with the default account and we get the same messages, then it tries with a randomly generated password account.
Then at the end of the attempts I get this message;
Error: Device internal error. Check Schannel, provision certificate, network configuration, device. (MachineId = 331).
Error: Can NOT establish connection with target device. (MachineId = 331)
At a bit of a loss as to what to try from here as I’ve tried everything I can find and every line of investigation i can see!
Источник
Error 0x80090308 returned by initializesecuritycontext
Success! Subscription added.
Success! Subscription removed.
Sorry, you must verify to complete this action. Please click the verification link in your email. You may re-send via your profile.
SCCM SP1 Provisioning Problem
- Subscribe to RSS Feed
- Mark Topic as New
- Mark Topic as Read
- Float this Topic for Current User
- Bookmark
- Subscribe
- Mute
- Printer Friendly Page
- Mark as New
- Bookmark
- Subscribe
- Mute
- Subscribe to RSS Feed
- Permalink
- Report Inappropriate Content
Hoping someone here can help me out with a problem I’m having with provisioning our HP dc 7800 vPro pc’s.
Here’s the detail.
SCCM SP1, the dc7800’s are on bios 1.24 and mBex firmware 3.2.1, we’re using an internally issued provisioning cert as I’m still effectively piloting vPro at the moment so I was hoping to avoid buying a cert before I was sure of everything. So basically here’s what I’m doing, take one fresh PC, update bios and then update mbex to 3.2.1, login to mbex and add the hash of our provisioning cert, also required to change mbex password. I’m planning on using the in band provisioning method for the time being. I have correctly set the mbex password in the OOBM component configuration and I’m confident I have everything else set up correctly as two of my PC’s have managed to provision. Trouble is I can’t seem to get the remaining PC’s to provision even though they have beenh through the exact same setup process. They are showing as AMT Status: Detected rather than not provisioned which from what I’ve read means that SCCM knows they are ATM capable but is unable to login to the mbex to take the process any further. I have checked and double checked passwords both on the mbex’s and in the OOBM Provisioning Setting tabs and I’m positive they match.
When the provisioning attempt takes place I can see it in the antopmgr.log
I can see it attempt the account I’ve put the details for and I get these messages;
Warning: Currently we don’t support mutual auth. Change to TLS server auth mode.
The provision mode for device wks188.eicltd.com is 1.
Attempting to establish connection with target device using SOAP.
Warning: We don’t have an provision certificate with old recorded hash.
Create provisionHelper with (Hash: 8571F29DFEB197A0D034C3EFC6E319EF*****)
Set credential on provisionHelper.
Try to use provisioning account to connect target machine wks188.eicltd.com.
Attempting to try all provision certificate to connect target device.
Failed to send TLS client hello message to server with errorcode=0x2733.
Error 0x6feb95c returned by ApplyControlToken
Fail to connect and get core version of machine wks188.eicltd.com using provisioning account # 0.
Then it tries with the default account and we get the same messages, then it tries with a randomly generated password account.
Then at the end of the attempts I get this message;
Error: Device internal error. Check Schannel, provision certificate, network configuration, device. (MachineId = 331).
Error: Can NOT establish connection with target device. (MachineId = 331)
At a bit of a loss as to what to try from here as I’ve tried everything I can find and every line of investigation i can see!
Источник
Dmitry-G |
|
|
Статус: Участник Группы: Участники
|
Чтобы заработала служба Stunnel Service, конфигурационный файл stunnel.conf следует положить в System32 (использую Win10 64bit), после этого указанная служба этот файл увидит. О чем, правда, ни слова не сказано в инструкции от УЦ ЦБ РФ от 08.11.2022, но зато говорится в мануале на Stunnel, входящем в состав КриптоПро CSP. Однако, ни успешный запуск данной службы, ни рекомендации выше в данной ветке, не избавляют нас от проблемы подключения к обозначенному серверу штампов времени. Все сертификаты должным образом установлены — как в хранилище текущего пользователя (права — админ), так и в хранилище локального компьютера. Установленный в эти хранилища средствами CSP личный сертификат, выданный аккредитованным УЦ БР, расширение «Проверка подлинности клиента (1.3.6.1.5.5.7.3.2)» имеет. Все тесты контейнеров средствами CSP (по каждому из хранилищ) проходят успешно, в свойства промежуточных сертификатов ЦБ РФ соответствующие адреса OCSP добавлены, строка «127.0.0.1 localhost tsp1.ca.cbr.ru» в файл без расширения «C:WindowsSystem32driversetchosts» записана, лицензии на CSP, TSP и OCSP активны… Пробовали и в связке с Крипто АРМ ГОСТ, и в связке с КриптоПро ЭЦП Browser plug-in со страницы https://www.cryptopro.ru…/cades_xlong_sample.html — результат один и тот же. А в результате возникает окно выбора сертификата, а затем окно ввода пароля, но после соответствующих выбора и ввода, подключения все равно не происходит. Предлагаемая выше замена адресов службы времени УЦ ЦБ с «http://tsp1.ca.cbr.ru:10001/tsp/tsp.srf» и «http://tsp2.ca.cbr.ru:10002/tsp/tsp.srf» на «https://tsp1.ca.cbr.ru/tsp/tsp.srf» и «https://tsp2.ca.cbr.ru/tsp/tsp.srf», а также точек распространения списков отзыва на «https://tsp1.ca.cbr.ru/ocsp» и «https://tsp1.ca.cbr.ru/ocsp» ни к чему хорошему не приводит, кроме того, что по понятной причине, вместо того, чтобы использовать канал Stunnel, указанные приложения пытаются подключиться к серверу установки меток времени напрямую. А конкретика следующая: При запуске Stunnel Service от имени текущего пользователя видим следующий лог Stunnel: 2022.12.08 19:00:12 LOG5[3672:17856]: stunnel 4.18 on x86-pc-unknown А при запуске Stunnel Service от имени локальной системы — следующий: 2022.12.08 20:43:02 LOG5[16664:1744]: stunnel 4.18 on x86-pc-unknown Как я уже говорил, все сертификаты (включая личный) установлены средствами CSP, должным образом и корректно. |
 |
|
|
dysha |
|
|
Статус: Новичок Группы: Участники
|
В инструкции УЦ Банка России по настройке stunnel есть требование: Цитата: В свойствах сертификата перейдите на вкладку «Протокол OCSP» и добавьте следующие URL как показано на картинке ниже: Каким образом можно эту настройку сделать на Linux? |
|
|
WWW |
|
ew-mc |
|
|
Статус: Участник Группы: Участники
|
Автор: Dmitry-G Чтобы заработала служба Stunnel Service, конфигурационный файл stunnel.conf следует положить в System32 (использую Win10 64bit), после этого указанная служба этот файл увидит. О чем, правда, ни слова не сказано в инструкции от УЦ ЦБ РФ от 08.11.2022, но зато говорится в мануале на Stunnel, входящем в состав КриптоПро CSP. Однако, ни успешный запуск данной службы, ни рекомендации выше в данной ветке, не избавляют нас от проблемы подключения к обозначенному серверу штампов времени. Все сертификаты должным образом установлены — как в хранилище текущего пользователя (права — админ), так и в хранилище локального компьютера. Установленный в эти хранилища средствами CSP личный сертификат, выданный аккредитованным УЦ БР, расширение «Проверка подлинности клиента (1.3.6.1.5.5.7.3.2)» имеет. Все тесты контейнеров средствами CSP (по каждому из хранилищ) проходят успешно, в свойства промежуточных сертификатов ЦБ РФ соответствующие адреса OCSP добавлены, строка «127.0.0.1 localhost tsp1.ca.cbr.ru» в файл без расширения «C:WindowsSystem32driversetchosts» записана, лицензии на CSP, TSP и OCSP активны… Пробовали и в связке с Крипто АРМ ГОСТ, и в связке с КриптоПро ЭЦП Browser plug-in со страницы https://www.cryptopro.ru…/cades_xlong_sample.html — результат один и тот же. А в результате возникает окно выбора сертификата, а затем окно ввода пароля, но после соответствующих выбора и ввода, подключения все равно не происходит. Предлагаемая выше замена адресов службы времени УЦ ЦБ с «http://tsp1.ca.cbr.ru:10001/tsp/tsp.srf» и «http://tsp2.ca.cbr.ru:10002/tsp/tsp.srf» на «https://tsp1.ca.cbr.ru/tsp/tsp.srf» и «https://tsp2.ca.cbr.ru/tsp/tsp.srf», а также точек распространения списков отзыва на «https://tsp1.ca.cbr.ru/ocsp» и «https://tsp1.ca.cbr.ru/ocsp» ни к чему хорошему не приводит, кроме того, что по понятной причине, вместо того, чтобы использовать канал Stunnel, указанные приложения пытаются подключиться к серверу установки меток времени напрямую. А конкретика следующая: Как я уже говорил, все сертификаты (включая личный) установлены средствами CSP, должным образом и корректно. Добрый день, коллеги! Но, в файле лога Stunnel говорит, что не видит сертификат локального пользователя: ……… 2022.12.12 15:25:12 LOG3[6960:9356]: Credentials complete Вам удалось найти причину проблемы? |
|
|
|
|
ew-mc |
|
|
Статус: Участник Группы: Участники
|
Автор: Orgia коллеги, а если туннель вообще не запускается служба? c:Stunnel>sc config stunnel start= auto & net start stunnel A system error has occurred. System error 1067 has occurred. The process terminated unexpectedly. сталкивался кто? Версия криптопровайдера: 5.0.12000 сталкивался кто? Мы сталкивались с такой же ошибкой 1067 при попытке запустить службу Stunnel Service. Метод лечения: |
|
|
|
|
Dmitry-G |
|
|
Статус: Участник Группы: Участники
|
Добрый день, коллеги! Однако, как выяснилось, основная причина происходящего была скрыта в настройках нашего firewall. Пару часов назад нам удалось получить корректный ответ с метками времени от сервера АУЦ БР на компе, который смотрел в инет напрямую, причем, без особых заморочек с настройками и с применением стандартного stunnel.conf в варианте от АУЦ БР. Отредактировано пользователем 13 декабря 2022 г. 14:48:11(UTC) |
|
|
|
|
ИгорьК |
|
|
Статус: Участник Группы: Участники
|
у нас все запускается странная ошибка в логе Есть мысли (с ЦБ уже несколько дней переписываемся — ничего не помогает, и антивирус отключали и firewall тоже…)? 2022.12.13 16:39:27 LOG7[5204:1296]: !!!!!Call s_poll_wait with timeout = -1 ((sock_rd && ssl_rd)=1) c->ssl_ptr = f1d c->sock_ptr=0 |
|
|
|
|
Dmitry-G |
|
|
Статус: Участник Группы: Участники
|
Да, признаю, как выяснилось, на машине с прямым инетом у нас все заработало лишь потому, что машина была новая и в личных у нее был всего лишь один сертификат — как раз тот сертификат, который требовался Stunnel для установки соединения. Когда же в справочнике имеются прочие личные сертификаты, в конфигурации Stunnel обязательно нужно указывать конкретно к какому сертификату из установленных обращаться. Как это сделать, подробно с примерами написано в мануале на Stunnel, входящем в состав КриптоПро CSP. Так что ИгорьК прав — антивирус и firewall тут оказались ни при чём. К сказанному также добавлю следующее: A. Где-то в ветках данного форума кем-то было озвучено, что указанный сертификат следует выгружать в файловую систему из справочника КриптоПро CSP, а не класть его туда методом копирования. В этом случае якобы в него (или в Stunnel) каким то образом добавляется ссылка на закрытый ключ, которую понимает Stunnel. В общем, сложно сказать, что это за ссылка, куда и как она добавляется, но в нашем случае оказалось, что это работает. Так что автору идеи, большое спасибо. Эксперименты с подключением рекомендуем вначале проводить без пароля на контейнер с ключом. B. Также выяснилось, что в процессе своей работы, служба Stunnel Service (при запуске от имени локальной системы) обращается к обозначенному личному сертификату в хранилище локального компьютера, а КриптоПро ЭЦП Browser plug-in — к такому же сертификату, лежащему в хранилище текущего пользователя. Так что по крайней мере на этапе тестирования, лучше добавлять соответствующую цепочку (с требуемыми настройками адресов OCSP в свойствах сертификатов БР) в оба эти хранилища. C. Ну и еще, пожалуй, добавлю официальный ответ техподдержки БР по данному вопросу. Нам он, правда, в итоге не помог, но может кому будет полезно: Просим проверить выполнение следующих шагов: Отредактировано пользователем 14 декабря 2022 г. 13:23:48(UTC) |
|
|
|
|
ИгорьК |
|
|
Статус: Участник Группы: Участники
|
Попробовал через браузер в логе те же самые Вот браузер выдал: Запрошенный URL не может быть получен The system returned: [No Error] (TLS code: SQUID_TLS_ERR_CONNECT+TLS_LIB_ERR=1421C0F8+TLS_IO_ERR=1) Для выполнения Вашего запроса этот кэш и удаленный узел не смогли согласовать взаимоприемлемые параметры безопасности. |
|
|
|
|
ew-mc |
|
|
Статус: Участник Группы: Участники
|
Добрый вечер, коллеги! Параметры при которых было успешное подписание Dmitry-G, я не нашел в мануале по Stunnel от КриптоПРО подробное описание с примерами указания пути к конкретному сертификату… P.S. Да, антивирус и firewall не при чем. И права админа не влияют на успех подписания. Отредактировано пользователем 14 декабря 2022 г. 16:19:59(UTC) |
|
|
|
|
ИгорьК |
|
|
Статус: Участник Группы: Участники
|
Да, у нас на новой чистой машине тоже заработало, когда в Личном только один сертификат пробовал явно указать в конфиге сертификат (cert = c:stunnelmyCert.cer) |
|
|
|
| Пользователи, просматривающие эту тему |
|
Guest (2) |
Быстрый переход
Вы не можете создавать новые темы в этом форуме.
Вы не можете отвечать в этом форуме.
Вы не можете удалять Ваши сообщения в этом форуме.
Вы не можете редактировать Ваши сообщения в этом форуме.
Вы не можете создавать опросы в этом форуме.
Вы не можете голосовать в этом форуме.
- Remove From My Forums
-
Question
-
Hi, All!
I have backend authentication problem when publishing WEB-application thru UAG.
Application based on Apache Tomcat for Windows, Apache authentication is configured for Kerberos (and not for NTLM).
I use local AD forest authentication on UAG both for trunk and for published applications.
UAG itself and backend server are the domain members.When I select «401 request» authentication method for my published app, and try to access app from UAG portal — I get
«You do not have permissions to view this folder or page» error.I checked the UAG traffic with Network Monitor and saw there is HTTP GET request from UAG to backend
and ‘401’ response from it with WWWauthenticate option = ‘Negotiate’ — and conversation stops.When I open backend URL in IE (from UAG server) I see the same beginning in NM, but after ‘401’ response, UAG issues TGS request to KDC
and gets service ticket for SPN of my backend server and then passes this ticket in the next HTTP GET request — then web-server replies and all works fine.So I assume that I should use «Kerberos Constraint Delegation» for SSO, and I configure UAG for it.
But when I open application in UAG portal I get the same error — «You do not have permissions to view this folder or page».
When I check traffic in NM I see after initial ‘401’ response from backend UAG requesting KDC for service
ticket for <UAGSERVER$> (my UAG machine account) service (why?) and then issues HTTP GET request with NTLM negotiate message —
which is not authorized by backend.So what’s wrong with UAG? Is there the possibility to make it work in IE-like way, get and pass correct service ticket?
Thanks in advance!
Answers
-
Hi Roman,
Sound like you may be facing the following issue:
http://support.microsoft.com/kb/2475733/—
Issue 5Kerberos Constrained Delegation (KCD) does not work if a back-end application does not support SPNEGO or is not configured to support SPNEGO. The HTTP log indicates that a «200 OK» response is returned immediately after UAG sends a Kerberos token.
The application sends a «200 OK» response. However, UAG is expecting a negotiation token.Workaround
In an optimal scenario, the back-end web server should return error 401 when it receives a GSS_S_CONTINUE_NEEDED value to complete the negotiation. In this scenario, UAG should send a token back to the back-end web server to finish the authentication process.
However, some back-end applications do not support or are not configured to support mutual Kerberos authentication (for example, no support for the Simple and Protected Negotiate [SPNEGO] implementation). For these applications, an additional Security Service
Provider (SSP) may be used by setting the registry.The following registry entry changes the SSP from Negotiate to
Kerberos:Subkey: HKEY_LOCAL_MACHINESOFTWAREWhaleComeGapvonUrlFilter
Entry: KCDUseKerberosSSN
Type: REG_DWORD
Value: 1—
I recommend to try install this hotfix and set those keys and see if this make things better …
Ophir.
-
Marked as answer by
Friday, August 26, 2011 10:55 PM
-
Marked as answer by
I am trying to solve an issue with my Jetty servlet running over HTTPS.
This is an error in the browser:
This is an error in the curl:
What I did:
-
I created my Keystore and Truststore as is described here: How to generate keystore and truststore and here https://serverfault.com/questions/488003/keytool-subjectalternativename
This is my batch script to create Keystore and Truststore:
keytool -keystore keystore.jks -storepass P4ssW0rd -keypass P4ssW0rd -genkey -alias example -validity 365 -dname "CN=example,OU=Example,O=Example,L=Bratislava,ST=Slovakia,C=SK" -ext "SAN=DNS:example.com,DNS:www.example.com,DNS:test.example.com"
"C:Program FilesGitusrbinopenssl.exe" req -new -x509 -subj "/C=SK/ST=Slovakia/L=Bratislava/O=Example/OU=Example/CN=Root-CA" -keyout ca-key -out ca-cert -days 365 -passout pass:P4ssW0rd
keytool -keystore truststore.jks -storepass P4ssW0rd -import -alias ca-root -file ca-cert -noprompt
keytool -keystore keystore.jks -storepass P4ssW0rd -certreq -alias exmaple -file cert-file
echo [SAN] > extFile
echo subjectAltName=DNS:example.com,DNS:www.example.com,DNS:test.example.com >> extFile
"C:Program FilesGitusrbinopenssl.exe" x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out test.pem -days 365 -CAcreateserial -passin pass:P4ssW0rd -extensions SAN -extfile extFile
keytool -keystore keystore.jks -storepass P4ssW0rd -import -alias ca-root -file ca-cert -noprompt
keytool -keystore keystore.jks -storepass P4ssW0rd -import -alias metahost -file test.pem
pause
- keystore.jks and truststore.jks were copied to the directory of my project and code was written up to load these files.
package sk.cood.metahost.server;
import jakarta.servlet.ServletException;
import jakarta.servlet.annotation.WebServlet;
import jakarta.servlet.http.HttpServlet;
import jakarta.servlet.http.HttpServletRequest;
import jakarta.servlet.http.HttpServletResponse;
import org.eclipse.jetty.server.*;
import org.eclipse.jetty.servlet.ServletContextHandler;
import org.eclipse.jetty.servlet.ServletHolder;
import org.eclipse.jetty.util.ssl.SslContextFactory;
import java.io.*;
@WebServlet(displayName = "MetaHostServlet", urlPatterns = { "/*" })
public class MetaHostServlet extends HttpServlet {
private static File keyStoreFile;
private static File trustStoreFile;
public static void main(String[] args) throws Exception {
loadKeyStores();
Server server = new Server(443);
ServerConnector connector = createSSLConnector(server, "P4ssW0rd", "P4ssW0rd", false);
server.addConnector(connector);
ServletContextHandler context = new ServletContextHandler(ServletContextHandler.SESSIONS);
context.addServlet(new ServletHolder(new MetaHostServlet()),"/*");
context.setContextPath("/");
server.setHandler(context);
server.start();
server.join();
}
private static void loadKeyStores() {
keyStoreFile = new File("keystore.jks");
trustStoreFile = new File("truststore.jks");
if (!keyStoreFile.exists()) {
throw new RuntimeException("Key store file does not exist on path '"+keyStoreFile.getAbsolutePath()+"'");
}
if (!trustStoreFile.exists()) {
throw new RuntimeException("Trust store file does not exist on path '"+trustStoreFile.getAbsolutePath()+"'");
}
}
private static ServerConnector createSSLConnector(Server server, String keyStorePassword, String trustStorePassword, boolean isClientAuthNeeded) {
SslContextFactory.Server sslContextFactory = new SslContextFactory.Server();
sslContextFactory.setKeyStorePath(keyStoreFile.getAbsolutePath());
sslContextFactory.setKeyStorePassword(keyStorePassword);
sslContextFactory.setTrustStorePath(trustStoreFile.getAbsolutePath());
sslContextFactory.setTrustStorePassword(trustStorePassword);
sslContextFactory.setNeedClientAuth(isClientAuthNeeded);
HttpConfiguration https_config = new HttpConfiguration();
https_config.setSendServerVersion(false);
https_config.setRequestHeaderSize(512 * 1024);
https_config.setResponseHeaderSize(512 * 1024);
SecureRequestCustomizer src = new SecureRequestCustomizer();
https_config.addCustomizer(src);
return new ServerConnector(server, sslContextFactory, new HttpConnectionFactory(https_config));
}
@Override
public void doGet(HttpServletRequest req, HttpServletResponse res) throws IOException, ServletException {
res.setContentType("text/html");
res.setStatus(HttpServletResponse.SC_OK);
res.getWriter().println("<h1>Hello World!</h1>");
res.getWriter().println("session=" + req.getSession(true).getId());
}
}
- I started my servlet with jetty and tried to connect to https://example.com/ and mentioned error appears.
I don’t know what is wrong in my case, maybe someone more experienced with jetty and certificates will help.
Thank you so much!
Hello All,
Hoping someone here can help me out with a problem I’m having with provisioning our HP dc 7800 vPro pc’s.
Here’s the detail.
SCCM SP1, the dc7800’s are on bios 1.24 and mBex firmware 3.2.1, we’re using an internally issued provisioning cert as I’m still effectively piloting vPro at the moment so I was hoping to avoid buying a cert before I was sure of everything. So basically here’s what I’m doing, take one fresh PC, update bios and then update mbex to 3.2.1, login to mbex and add the hash of our provisioning cert, also required to change mbex password. I’m planning on using the in band provisioning method for the time being. I have correctly set the mbex password in the OOBM component configuration and I’m confident I have everything else set up correctly as two of my PC’s have managed to provision. Trouble is I can’t seem to get the remaining PC’s to provision even though they have beenh through the exact same setup process. They are showing as AMT Status: Detected rather than not provisioned which from what I’ve read means that SCCM knows they are ATM capable but is unable to login to the mbex to take the process any further. I have checked and double checked passwords both on the mbex’s and in the OOBM Provisioning Setting tabs and I’m positive they match.
When the provisioning attempt takes place I can see it in the antopmgr.log
I can see it attempt the account I’ve put the details for and I get these messages;
Warning: Currently we don’t support mutual auth. Change to TLS server auth mode.
The provision mode for device wks188.eicltd.com is 1.
Attempting to establish connection with target device using SOAP.
Warning: We don’t have an provision certificate with old recorded hash.
Create provisionHelper with (Hash: 8571F29DFEB197A0D034C3EFC6E319EF*****)
Set credential on provisionHelper…
Try to use provisioning account to connect target machine wks188.eicltd.com…
Attempting to try all provision certificate to connect target device.
Failed to send TLS client hello message to server with errorcode=0x2733.
-
Error 0x6feb95c returned by ApplyControlToken
Fail to connect and get core version of machine wks188.eicltd.com using provisioning account # 0.
Then it tries with the default account and we get the same messages, then it tries with a randomly generated password account.
Then at the end of the attempts I get this message;
Error: Device internal error. Check Schannel, provision certificate, network configuration, device. (MachineId = 331).
Error: Can NOT establish connection with target device. (MachineId = 331)
At a bit of a loss as to what to try from here as I’ve tried everything I can find and every line of investigation i can see!
Any help would be really apopreciated!
Adam