Назад | Перейти на главную страницу

OpenSSL s_client возвращает неподдерживаемую цель сертификата на одном компьютере, но нормально работает на другом с такими же сертификатами

Я отлаживаю проблему подключения TLS между хостом и контейнером докеров. В моем докер-контейнере есть сертификат сервера:

Этот сертификат выдается ЦС со следующим сертификатом:

Когда я бегу s_client на хозяин машина:

$ openssl s_client -CAfile ./ca.crt -connect localhost:7051 -servername insurance-peer

Он возвращается

 SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-ECDSA-AES256-GCM-SHA384
    Session-ID:
    Session-ID-ctx:
    Master-Key: 94B93D75B297584B53E87ADA0968F2B3B9121F1CAA048212642195E299F6BEA24E482E19E35F5FF18D596E138955EEBF
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1571897582
    Timeout   : 7200 (sec)
    Verify return code: 26 (unsupported certificate purpose)
    Extended master secret: no

Обратите внимание, что код возврата 26 (unsupported certificate purpose)

Когда я бегу s_client на докер контейнер

$ openssl s_client -connect insurance-peer:7051 -CAfile ./ca.crt

Он возвращает:

SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-ECDSA-AES256-GCM-SHA384
    Session-ID:
    Session-ID-ctx:
    Master-Key:85B6CAD935415FFDCC76623E9A1B5FC1749D3B7B450B41316F581A181D29039CA092B55F25170ED8D125B7ACFBE33289
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1571897694
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)

Обратите внимание, что код возврата здесь 0 (ok)

Так что в случае s_client соединение между хостом и контейнером ошибка unsupported certificate purpose а при подключении внутри контейнера работает нормально.

$ openssl verify работает нормально в обеих средах.

Хост:

$ openssl verify -CAfile ./ca.crt server.crt
server.crt: OK

Докер:

# openssl verify -CAfile ./ca.crt server.crt
server.crt: OK

Версия OpenSSL на хозяин машина: OpenSSL 1.1.1d 10 Sep 2019

Версия OpenSSL на докер: OpenSSL 1.0.2g 1 Mar 2016

Не могли бы вы помочь мне, в чем может быть проблема?

Похож на этот отчет об ошибке: Nginx № 1760.

Ваш ключ CA сообщает «Любое расширенное использование ключа». Поддерживается с OpenSSL 1.1.0. Вот почему разные версии ведут себя по-разному. Чтобы исправить это, мне кажется, вам нужно обновить OpenSSL.