Архивы ssl

Android Studio: обработка сайтов с сертификатом Минкомсвязи в webview компоненте приложения

27.11.2023 Павел Грибов Android

При попытке отобразить в webview компоненте сайт с сертификатом выданным Минкомсвязи, возникает ошибка проверки SSL соединения, т.к. этому корневому сертификату система не «доверяет». В частности ошибка возникает в настоящий момент при процессинге платежей банка Тинькофф и Сбербанк. В настоящий момент существует путь заставить компонент webview корректно проходить проверку сертификата на таких сайтах. Для этого в файл манифеста приложения необходимо добавить строчку вида:

<application
        android:networkSecurityConfig="@xml/network_security_config"
...

<application

android:networkSecurityConfig="@xml/network_security_config"

...

А так-же в папке ресурсов добавить папку xml, и разместить там файл network_security_config.xml:

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">ru</domain>
        <trust-anchors>
            <certificates src="@raw/root"/>
            <certificates src="@raw/sub"/>
            <certificates src="system"/>
            <certificates src="user"/>
        </trust-anchors>
    </domain-config>
</network-security-config>

<?xml version="1.0" encoding="utf-8"?>

<network-security-config>

<domain-config>

<trust-anchors>

</trust-anchors>

</domain-config>

</network-security-config>

Сертификаты Минкомсвязи, соответственно нужно положить в android/src/res/raw. Скачать их можно тут

В результате проведенных манипуляций, все сайты в зоне ru, будут сначала проверяться при помощи сертификата Минкомсвязи, а в случае не успеха — встроенными сертификатами системы и установленными сертификатами пользователя.

Оставить комментарий ssl, минкомсвязь, ошибка, сбербанк, тинькофф

PHP: получить публичный ключ удаленного сервера

09.07.2021 Павел Грибов PHP

Задача: получить публичный ключ https ресурса

Решение:

<?php
$opt = [
  "capture_peer_cert" => true,
    "capture_peer_cert_chain" => true
    ];
    $a = stream_context_create(["ssl"=>$opt]);
    $b = stream_socket_client("tls://xn--90acbu5aj5f.xn--p1ai:443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $a);
    $cont = stream_context_get_params($b);
    $key = openssl_pkey_get_public($cont["options"]["ssl"]["peer_certificate"]);
    $c = openssl_pkey_get_details($key);
    var_dump($c["key"]);

<?php

$opt = [

"capture_peer_cert" => true,

"capture_peer_cert_chain" => true

];

$a = stream_context_create(["ssl"=>$opt]);

$b = stream_socket_client("tls://xn--90acbu5aj5f.xn--p1ai:443", $errno, $errstr, 30, STREAM_CLIENT_CONNECT, $a);

$cont = stream_context_get_params($b);

$key = openssl_pkey_get_public($cont["options"]["ssl"]["peer_certificate"]);

$c = openssl_pkey_get_details($key);

var_dump($c["key"]);

Оставить комментарий https, php, ssl, получить, публичный ключ

PHP: Использование CURL с сертифкатом

07.07.2021 Павел Грибов PHP, WEB

Задача: Некий удаленный ресурс проверяет сертификат пользователя, при попытке получить с него данные. В наличии только стандартные сертификаты выданные LetEncrypt.

Решение:

Сертификаты необходимо сконвертировать. В наличии:

sert.crt — сертификат домена в PEM формате
sert.key — приватный ключ PEM формате

Конвертируем используя промежуточную конвертацию в формат p12:

openssl pkcs12 -export -in sert.crt -inkey sert.key -out sert.p12
openssl pkcs12 -in sert.p12 -nodes -out result.pem

1 2	openssl pkcs12 -export -in sert.crt -inkey sert.key -out sert.p12 openssl pkcs12 -in sert.p12 -nodes -out result.pem

По итогу получили файл result.pem. Далее его и будем использовать при работе с curl:

$ch = curl_init();
                curl_setopt($ch, CURLOPT_URL, "https://некий ресурс");    
                curl_setopt($ch, CURLOPT_SSLCERT, WUO_ROOT."result.pem" );
                curl_setopt($ch,CURLOPT_SSLCERTTYPE,"PEM");
                curl_setopt($ch, CURLOPT_HTTPHEADER, array('Content-Type: application/x-www-form-urlencoded'));
                curl_setopt($ch, CURLOPT_RETURNTRANSFER, True);
                curl_setopt($ch, CURLOPT_POST, True);
                curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);
                $post=http_build_query($post, '', '&');
                curl_setopt($ch, CURLOPT_POSTFIELDS, $post);
                curl_setopt($ch, CURLOPT_VERBOSE, true);
                $result = curl_exec($ch);
                curl_close($ch);

$ch = curl_init();

curl_setopt($ch, CURLOPT_URL, "https://некий ресурс");

curl_setopt($ch, CURLOPT_SSLCERT, WUO_ROOT."result.pem" );

curl_setopt($ch,CURLOPT_SSLCERTTYPE,"PEM");

curl_setopt($ch, CURLOPT_HTTPHEADER, array('Content-Type: application/x-www-form-urlencoded'));

curl_setopt($ch, CURLOPT_RETURNTRANSFER, True);

curl_setopt($ch, CURLOPT_POST, True);

curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false);

$post=http_build_query($post, '', '&');

curl_setopt($ch, CURLOPT_POSTFIELDS, $post);

curl_setopt($ch, CURLOPT_VERBOSE, true);

$result = curl_exec($ch);

curl_close($ch);

Оставить комментарий curl, pem, ssl, сертификат

websocket сервер ratchet c SSL

23.11.2020 Павел Грибов PHP, WEB

Почемуто большинство примеров создания websocket сервера с использованием ratchet приведены без использования SSL. И у всех как я почитаю пляски с буном потом с проксированием через apache или ngnix. Но ведь он умеет и без этого!

Вот примерно как это оформляется:

use Ratchet\MessageComponentInterface;
use Ratchet\ConnectionInterface;
use Ratchet\Server\IoServer;
use Ratchet\Http\HttpServer;
use Ratchet\WebSocket\WsServer;
use React\EventLoop\Factory;
use React\Socket\SecureServer; 

$loop = React\EventLoop\Factory::create();
$webSock = new React\Socket\Server('0.0.0.0:33423', $loop);
$webSock = new React\Socket\SecureServer($webSock, $loop, [
    'local_cert'        => 'sssss.crt', 
    'local_pk'          => 'sssss.key', 
    'allow_self_signed' => TRUE, 
    'verify_peer' => FALSE
]);

$webServer = new Ratchet\Server\IoServer(
    new Ratchet\Http\HttpServer(
        new Ratchet\WebSocket\WsServer(
            new MessageService($UsersApi)
        )
    ),
    $webSock,
    $loop        
);

$webServer->run();

use Ratchet\MessageComponentInterface;

use Ratchet\ConnectionInterface;

use Ratchet\Server\IoServer;

use Ratchet\Http\HttpServer;

use Ratchet\WebSocket\WsServer;

use React\EventLoop\Factory;

use React\Socket\SecureServer;

$loop = React\EventLoop\Factory::create();

$webSock = new React\Socket\Server('0.0.0.0:33423', $loop);

$webSock = new React\Socket\SecureServer($webSock, $loop, [

'local_cert' => 'sssss.crt',

'local_pk' => 'sssss.key',

'allow_self_signed' => TRUE,

'verify_peer' => FALSE

]);

$webServer = new Ratchet\Server\IoServer(

new Ratchet\Http\HttpServer(

new Ratchet\WebSocket\WsServer(

new MessageService($UsersApi)

)

$webSock,

$loop

);

$webServer->run();

А вот пример класса MessageService:

class MessageService implements MessageComponentInterface {
    protected $clients;
    public $cnt=0; 
    public $uapi="";
    public function __construct($uu) {
        $this->uapi=$uu;
        $this->clients = array();        
        echo "- запустили, ждем соединения..\n";
    }

    public function onOpen(ConnectionInterface $conn) {                
            $user["user"]="";
            $user["conn"]=$conn;
            $this->clients[]=$user;
            $this->cnt++;            
            echo "--с нами ".count($this->clients)."\n";
            echo "---спрашиваю who_are_you?\n";
            $conn->send(json_encode(array("command"=>"who_are_you")));
    }

    public function onMessage(ConnectionInterface $from, $msg) {
        echo "-- пришло сообщение: $msg \n";        
        $msg= json_decode($msg);
        //var_dump($msg);
        if (isset($msg->command)):
            switch ($msg->command) {
               case "who_am_i":
               // обхожу все соединения, и добавляю параметр - пришедший id пользователя
                    foreach ($this->clients as &$client) {
                        if ($from == $client["conn"]) {
                            $client["user"]=$msg->user;
                        };
                    };
               break;
               default:break;
            }
        endif;

    }

    public function onClose(ConnectionInterface $conn) { 
        $user="";
        foreach ($this->clients as $key=>$client) {          
          if ($client["conn"]==$conn):
              echo "-- ушел $key(".$client["user"].")\n";              
              $user=$client["user"];
              unset($this->clients[$key]);              
          endif;
        };
        echo "-- осталось соединений ".count($this->clients)."\n";
    }

    public function onError(ConnectionInterface $conn, \Exception $e) {
        $conn->close();
    }
}

class MessageService implements MessageComponentInterface {

protected $clients;

public $cnt=0;

public $uapi="";

public function __construct($uu) {

$this->uapi=$uu;

$this->clients = array();

echo "- запустили, ждем соединения..\n";

}

public function onOpen(ConnectionInterface $conn) {

$user["user"]="";

$user["conn"]=$conn;

$this->clients[]=$user;

$this->cnt++;

echo "--с нами ".count($this->clients)."\n";

echo "---спрашиваю who_are_you?\n";

$conn->send(json_encode(array("command"=>"who_are_you")));

}

public function onMessage(ConnectionInterface $from, $msg) {

echo "-- пришло сообщение: $msg \n";

$msg= json_decode($msg);

//var_dump($msg);

if (isset($msg->command)):

switch ($msg->command) {

case "who_am_i":

// обхожу все соединения, и добавляю параметр - пришедший id пользователя

foreach ($this->clients as &$client) {

if ($from == $client["conn"]) {

$client["user"]=$msg->user;

};

break;

default:break;

}

endif;

}

public function onClose(ConnectionInterface $conn) {

$user="";

foreach ($this->clients as $key=>$client) {

if ($client["conn"]==$conn):

echo "-- ушел $key(".$client["user"].")\n";

$user=$client["user"];

unset($this->clients[$key]);

endif;

};

echo "-- осталось соединений ".count($this->clients)."\n";

}

public function onError(ConnectionInterface $conn, \Exception $e) {

$conn->close();

}

3 комментария ratchet, ssl, WebSocket

Включаем поддержку SSL в Postfix, FreeBSD 10.x

20.08.2019 Павел Грибов Linux

Предыдущий пост (включение подписи DKIM) не помог избавиться от попадания в папку СПАМ на ящиках gmail, поэтому следующим этапом попробуем включение принудительного шифрования писем SSL на домене.

Сначала сделаем самоподписный сертификат:

openssl req -new -nodes -x509 -out /usr/local/etc/postfix/smtpd.pem -keyout /usr/local/etc/postfix/smtpd.pem -days 3650

1	openssl req -new -nodes -x509 -out /usr/local/etc/postfix/smtpd.pem -keyout /usr/local/etc/postfix/smtpd.pem -days 3650

Добавляем в Postfix поддержку SSL:

mcedit /usr/local/etc/postfix/main.cf

1	mcedit /usr/local/etc/postfix/main.cf

smtp_use_tls = yes
smtpd_use_tls = yes
smtpd_tls_auth_only = yes
smtp_tls_note_starttls_offer = yes
smtpd_tls_key_file = /usr/local/etc/postfix/smtpd.pem
smtpd_tls_cert_file = /usr/local/etc/postfix/smtpd.pem
smtpd_tls_CAfile = /usr/local/etc/postfix/smtpd.pem
smtpd_tls_loglevel = 1
smtpd_tls_received_header = yes
smtpd_tls_session_cache_timeout = 3600s
tls_random_source = dev:/dev/urandom

smtp_use_tls = yes

smtpd_use_tls = yes

smtpd_tls_auth_only = yes

smtp_tls_note_starttls_offer = yes

smtpd_tls_key_file = /usr/local/etc/postfix/smtpd.pem

smtpd_tls_cert_file = /usr/local/etc/postfix/smtpd.pem

smtpd_tls_CAfile = /usr/local/etc/postfix/smtpd.pem

smtpd_tls_loglevel = 1

smtpd_tls_received_header = yes

smtpd_tls_session_cache_timeout = 3600s

tls_random_source = dev:/dev/urandom

В файле /usr/local/etc/postfix/master.cf нужно добавить:

smtps inet n - n - - smtpd -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes

1	smtps inet n - n - - smtpd -o smtpd_tls_wrappermode=yes -o smtpd_sasl_auth_enable=yes

и перестартовать postfix

Оставить комментарий freebsd, linux, postfix, ssl, tls

1 2 »

Пн	Вт	Ср	Чт	Пт	Сб	Вс
				1	2	3
4	5	6	7	8	9	10
11	12	13	14	15	16	17
18	19	20	21	22	23	24
25	26	27	28	29	30