Неизвестная ошибка Curl 0x80092012 не позволила установить elementor-pro-2.7.1 на 5.2.4 и провести тест

Добрый день!
После установки Крипто-ПРО CSP v.3.6.7777 и фичи Revocation Provider на Windows 7 перестал запускаться клиент Microsoft Lync 2013. В системных ошибках фигурирует:
Event ID 36876
Source: Schannel.
Текст ошибки: Сертификат, полученный от удаленного сервера, не прошел проверку. Код ошибки: 0x80092012. Запрос на SSL-соединение не удалось выполнить. Сертификат сервера содержится в прилагаемых данных.
Сертификат сервера — это действующий сертификат Lync-сервера, с которым связывается клиент. AIA и CDP доступны. Всё происходит в домене.
Пробовал следующее: отключал в настройках КриптоПРО «Не проверять сертификат сервера на отзыв», в настройках OSCP Client GPO добавлял отпечаток сертификата сервера в исключения, обновился до версии 3.9.8001 КС1 — ничего не помогло.
К сожалению, наличие Revocation Provider является обязательным.

А что пишет certutil при проверке сертификата? С установленным reprov и без?

certutil -verify в обоих случаяx (c reprov и без) выдает:
ChainContext.dwErrorStatus = CERT_TRUST_REVOCATION_STATUS_UNKNOWN (0x40), это из-за того, что CDP сертификата «высшего CA» недоступен.

Без reprov

добавляется ошибка CERT_TRUST_IS_OFFLINE_REVOCATION (0x1000000).

Результат:
С reprov — Функция отзыва не смогла произвести проверку отзыва для сертификата. 0x80092012 (-2146885614)…..Lync Клиент не работает.
Без reprov — Невозможно проверить функцию отзыва, т.к. сервер отзыва сертификатов недоступен . 0x80092013 (-2146885613)….Lync Клиент работает.

Не расстраивайте меня, что необходимо иметь доступный CDP всех CA в цепочке для корректной работы reprov. Если так, то возможно ли отключить проверку для определенных сертификатов?

Спасибо!

Отредактировано пользователем 9 февраля 2016 г. 19:29:47(UTC)
 | Причина: Не указана

reprov проверяет сертификаты на отзыв, логично, что возвращается ошибка при невозможности проверки. MSFT не настолько строг. Попробуйте отключить проверку на отзыв в IE.

К сожалению отключение галки в IE не помогло. У меня есть еще варианты, кроме как изменять настройки RootCA?

Нашел вот такой параметр — поставьте DWORD 1 — возможно отключит проверку сертификатов вообще.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\SecurityProviders\SCHANNEL\ManualCredValidation

Спасибо за ключ — работает! Этот вариант отлично подойдет в качестве временного решения, пока решится проблема по корневым CA.

Добрый день!

Провожу стендирование решения с использованием стороннего УЦ (в качестве такового выступает локальный CA на Win2012 + CryptoPro 4). Сделал по инструкции requestы, выдал в УЦ на их основании серты и установил их на все ноды стенда (1 MGMT, 1 Gate (пока), 1 АРМ администратора). При попытке привязать сертификат АРМа администратора в ng-certcfg процесс проходит успешно, службы перезапускаются, но после этого Show certificate выдает сообщение, что сертификата нет и попытка зайти на MGMT node с АРМа завершается 400ым сообщением nginx: no required ssl certificate was sent.

P.S. Тестирую сертифицированную версию, скачанную с офф сайта.

Добрый день!

попытка зайти на MGMT node с АРМа завершается 400ым сообщением nginx: no required ssl certificate was sent.
Какой браузер используете?
Что вводите в адресной строке?
Сертификат администратора установлен в личные пользователя с привязкой к закрытому ключу?

Здравствуйте!

1. Использовал Яндекс Браузер и IE
2. https://ngate-mgmt:8000
Сделал для ноды управления имя ngate-mgmt, с этим именем выдал сертификат, его же прописал в hosts на Win машине администратора.
В логах вижу:
2020/05/13 13:21:58 [emerg] 6924#0: *6 SSPI_do_handshake() failed while SSPI handshaking, client: 192.168.0.2, server: 192.168.0.1:8000
2020/05/13 13:21:58 [error] 6924#0: *7 AcceptSecurityContext failed: 0x80090326 while SSPI handshaking, client: 192.168.0.2, server: 192.168.0.1:8000
3. Сертификат установлен.

Пока ждал ответа не сидел сложа руки: попробовал переделать все на внутреннем УЦ ngate. Для этого заново поднял ngate-mgmt и ngate-1 (нода кластера). Проблема с 400 кодом осталась.

Замечание: в документации весьма слабо описаны требования к настройке сетевых интерфейсов. Нет понимания как можно комбинировать роли интерфейсов и можно ли это делать.
1. Не понятно какая роль должна быть на интерфейсе устройства управления который смотрит в сторону шлюзов.
2. Можно ли healthcheck сделать на интерфейсе управления или внутреннем интерфейсе.

Отредактировано пользователем 13 мая 2020 г. 15:15:49(UTC)
 | Причина: Не указана

На ПК администратора запустите КриптоПро CSP и выполните тестирование контейнера ЗК ключа администратора.
Результат тестирования сохраните в файл и прикрепите к сообщению.

testirovanie KZK.txt (3kb) загружен 7 раз(а).

400-й код и отсутствие запроса на сертификат админа в бразуере говорит о том что у вас скорее всего корневой не установлен в Trusted Root.

Ну тогда бы при клике на замочек в браузере я не видел и такой картинки.
1.png (8kb) загружен 9 раз(а).

Отредактировано пользователем 14 мая 2020 г. 10:33:38(UTC)
 | Причина: Не указана

Используйте csptest для проверки:
«C:\Program Files\Crypto Pro\CSP\csptest.exe» -tlsc -server <servername> -port 8000 -u <CN_from_admin_cert> -v

Приложите результат выполнения команды полностью.

C:\Program Files\Crypto Pro\CSP>csptest.exe -tlsc -server ngate-mgmt -port 8000
-u arm -v
An error occurred in running the program.
tmain.c:1650:CertFindCertificateInStore
Error number 0x80092004 (-2146885628).
Объект или свойство не найдено.

**** Error 0x80092004 returned by CertFindCertificateInStore
An error occurred in running the program.
WebClient.c:607:Error creating credentials.
Error number 0x8009030e (-2146893042).
В пакете безопасности отсутствуют учетные данные

Total: SYS: 0,000 sec USR: 0,000 sec UTC: 0,031 sec
[ErrorCode: 0x8009030e]

Прикладываю серт и изображение оснастки сертификатов. 2.png (35kb) загружен 7 раз(а). arm.cer (1kb) загружен 1 раз(а).

Отредактировано пользователем 14 мая 2020 г. 17:44:12(UTC)
 | Причина: Не указана

Поставьте сертификат текущему пользователю в хранилище.
Сейчас он у вас в хранилище локального компьютера.

Отредактировано пользователем 14 мая 2020 г. 21:26:48(UTC)
 | Причина: Не указана

C:\Program Files\Crypto Pro\CSP>csptest.exe -tlsc -server ngate-mgmt -port 8000 -u arm -v
#0:
Subject: CN=arm, C=RU, O=SlipKo, OU=Serv
Valid : 13.05.2020 09:54:12 — 13.05.2023 09:54:12 (UTC)
Issuer : CN=nGate Management Console, C=RU, O=SlipKo, OU=nGate MC Certificate Au
thority

Client certificate:
Subject: CN=arm, C=RU, O=SlipKo, OU=Serv
Valid : 13.05.2020 09:54:12 — 13.05.2023 09:54:12 (UTC)
Issuer : CN=nGate Management Console, C=RU, O=SlipKo, OU=nGate MC Certificate Au
thority

Error 0x80092012 ((unknown)) returned by CertVerifyCertificateChainPolicy!
Error 0x80092012 authenticating client credentials
An error occurred in running the program.
WebClient.c:607:Error creating credentials.
Error number 0x80092012 (-2146885614).
Функция отзыва не смогла произвести проверку отзыва для сертификата.

Total: SYS: 0,047 sec USR: 0,016 sec UTC: 0,108 sec
[ErrorCode: 0x80092012]

Скопировал контейнер закрытого ключа из «Компьютера» в «Пользователя» и установил сертификат в «Текущего пользователя» с привязкой закрытого ключа.

Также в процессе публикации конфигурации возникает ошибка.
3.png (61kb) загружен 6 раз(а).

Отредактировано пользователем 15 мая 2020 г. 17:20:37(UTC)
 | Причина: Исправил вывод команды

Сгенерируйте ключи защиты сессий и ключа синхронизации с помощью утилиты ng-certcfg

Действительно — упустил данный момент. Спасибо!

Добрый день!

Снова вернулся к тестированию.

Проблема следующая: есть клиентский АРМ на базе ОС Windows. Установлен CryptoPro, Chromium GOST, сертификаты УЦ и пользовательский. Доступ к web-ресурсу работает нормально.
На этом же АРМе поднял nGate Client для построения VPN, однако сертификаты в клиенте не отображаются. Если выдать запрос из клиента и отправить в УЦ, то выданный УЦ сертификат в любом из форматов (base64,der,p7b) импортироваться через nGate клиент отказывается.

Вывод с ngate client:
Jun 18 13:58:01.838 Critical Can’t install certificate. Unsupported format or wrong file. Both PEM_read_bio_X509() and d2i_X509_bio() failed to parse contents.
Jun 18 13:59:31.201 Debug New certificate PublicKey is: 044081ff803d50d04e0e1de009a75c8013b0ec2abe1e0df9c0229348c339cb281e680461cf54bd2c92274808e100851dcb943fe689392a441db6a22a510df5711678
Jun 18 13:59:31.232 Critical The first call to CryptExportPublickKeyInfo() failed (80090022).
Jun 18 13:59:31.232 Critical The probable cause is that
Jun 18 13:59:31.232 Critical there is no key pair present in the key container.
Jun 18 14:00:00.279 Debug New certificate PublicKey is: 044081ff803d50d04e0e1de009a75c8013b0ec2abe1e0df9c0229348c339cb281e680461cf54bd2c92274808e100851dcb943fe689392a441db6a22a510df5711678
Jun 18 14:00:00.451 Critical The first call to CryptExportPublickKeyInfo() failed (80090022).
Jun 18 14:00:00.451 Critical The probable cause is that
Jun 18 14:00:00.451 Critical there is no key pair present in the key container.

Вопроса собственно 2:
1. Почему клиент не хочет видеть уже существующий сертификат в хранилище Личное (кстати серт есть как в пользовательском хранилище, так и в хранилище локального компа естественно с привязкой к закрытому ключу)?
2. Если поведение клиента по первому вопросу нормальное, то как импортировать сертификат в nGate Client?

Добрый день!
Сохраните сертификат в файл и установите его как личный с привязкой к закрытому ключу использую КриптоПро CSP вкладка «Сервис».

Добрый день!

Сделал как написали, но сертификат так и не появился в nGate Cliente.

При попытке подключения к VPN сертификат отображается?
Если у сертификата длинная цепочка (есть промежуточный УЦ) попробуйте промежуточный сертификат добавить в клиенте в корневые.