@XymoyD

В общем потребовалось настроить схему авторизации без ввода пароля.
Сделал сертификатор, создал базку certreq, настроил CA...
Проверил в ФФ... Сделал зверька в адресной книге, запросил сертификат, создал пару, принял запрос, одобрил, получил.... Через фф - всё работает.
Решил проверить через хром, не работает: _ttps://support.comodo.com/index.php?/Default/Knowledgebase/Article/View/776/38/
Решил проверить через IE11 - тоже не работает, получаю ответ при создании запроса:
"Error: No public key supplied. Operation cancelled"
И всё.
В ie7 всё работает.
В опере тоже всё хорошо.

А если же мы добавляем сертификаты через админку в person документы, то там завязано на ID, и соответственно при экспорте мы не получаем private key...

В общем... Что надо, чтобы в ие11 заработало?

0

@oomymo2

SSLv3?

0

@tmyky

а может не надо ;)
теоретически можно эпрувить ключи на фронте, но останется вопрос проброса авторизации, а вот здесь схемы не так очевидны
можно заморочится подъемом до TLS на домине - тоже тернистый путь с сертификатами будет ;)

0

@oomymo2

Таки искал, в свое время, как генерить лтпа на фронте, не нашел)

0

@tmyky

можно юзера подсовывать по некоему своему закону (например по таблице на фронте)
во фронт прописываем
proxy_set_header $WSRU dominouser;
dominouser генерим из таблицы - вот тут нужно немного изголяться
а можно
сделать запрос с домины

0

@tmyky

подборка на тему https://frostillic.us/blog/search?q=nginx
там и https://frostillic.us/blog/pos... 5B00766F18
через lua

0

@XymoyD

Надо. Очень. Задача стоит не столько в обеспечении безопасности, сколько в избавлении от ввода пароля.
Версия у меня 9.0.1 с третьим фикспаком. Информация, что я вижу в FF:
Image hosted for free at CtrlV.in

То есть тлс присутствует.

Ссылки все посмотрю, спасибо...

0

@tmyky

вот еще http://habrahabr.ru/post/213741/
особливо интересен будет $ssl_client_s_dn;
кот можно упихать в $WSRU только учесть вид, кот принимает нотусня

0

@tmyky

цепочка следующая - генерим (получаем) серверный сертификат, из кот получим файлы:


они используются сервером, но ониже и пользуются при генерации клиентских сертификатов
по ссылке

Код (Bash):
openssl req -new -newkey rsa:1024 -nodes -keyout client01.key -subj /C=RU/ST=Moscow/L=Moscow/O=Companyname/OU=User/CN=etc/emailAddress=support@site.com -out client01.csr
где -subj ... это то что надо будет подставлять домине в $WSRU и что мы получим в $ssl_client_s_dn;
следуя описанию http://nginx.org/ru/docs/http/ngx_http_ssl_module.html
куда нагенеряться сертификаты клиентов - решаем сами
но их надо преобразовать к p12:

Код (Bash):
openssl pkcs12 -export -in client01.crt -inkey client01.key -certfile ca.crt -out client01.p12 -passout pass:q1w2e3
уж шобы совсем облениться

Код (Bash):
#!/bin/sh
while read line
do
echo $line
done <users.txt
юзаем конструкцию, для кот. получаем файло из АК (с именами юзеров), например - поле shortname, кот. может использоваться для авторизации (д.б. доступно дефолтно, в домине)вместо эха, разумеется - ставим скрипты выше

0

@tmyky

как не тестированный пример

Код (Bash):
#!/bin/sh
while read line
do
echo $line
openssl req -new -newkey rsa:1024 -nodes -keyout $line.key -subj $line -out $line.csr
openssl ca -config ca.config -in $line.csr -out $line.crt -batch
openssl pkcs12 -export -in $line.crt -inkey $line.key -certfile ca.crt -out $line.p12 -passout pass:q1w2e3
done <users.txt



--- Добавлено 17 июл 2015. Первое сообщение размещено 17 июл 2015 ---

пароль, можно брать из файла же, если туды его положить каждому юзеру свой


--- Добавлено 17 июл 2015 ---

по типу http://stackoverflow.com/questions/27041059/shell-script-to-read-value-pairs-from-txt-file

0

@XymoyD

Ух. Спасибо, конечно. Но я вот в толк пока не возьму, какие сложности, эм, мне предстоят?


Почитал и подумал...
с openssl знаком по openvpn.
Хммммм... я правильно понимаю, что....просто генерим сертификаты на стороне, а потом раздаем пользователям? Используя существующий механизм в домино?

0

@tmyky

раздаем файлы
генерим по самоподписанному сертификату либо по полученному (для сервера/сайта).
если "на стороне" - про openssl, то - да, но в любых никсах он, практически, штатно установлен

сложности в домине - отыскать правильный путь чтобы современные браузеры не посылали

механизм с домино завязан на УЁ (получения клиентского сертификата), да еще, возможно хранит клиентские сертификаты хзгде/хзкак
метод, описанный выше, позволяет вовсе не заморачиваться на скорость реакции ИБМ по внедрению заплаток и прочих свистоперделок - но действовать сообразно времени
благо в ОСС мире заплатки выходят оперативно ;)

Т.о. для домины надо формировать правильный ключ шифрования (kyrtool), затем как-то подписывать клиентские сертификаты..., уверен - способ есть, но он далеко не проще использования nginx + openssl

0

@tmyky

кстати по ссылке же - указан 2-ой путь, через... - фронт (но от ИБМ) ;) и только для винды


--- Добавлено 18 июл 2015. Первое сообщение размещено 18 июл 2015 ---

обойти ввод пароля, но опять же - виндятко + УЁ, можно и используя настройку аутентификации в АД, что ИМХО - ну очень кастыльно

0

@XymoyD

Спасибо! А не могли бы вы рассказать про второй способ? Что за УЁ?
Сейчас вылезла подробность, что сертификаты надо раздавать как можно более простым способом, т.к. пользователей много и частая ротация...

0

@tmyky

- интернет эхплорер - искаженное название
http://www-10.lotus.com/ldd/dominowiki.nsf/dx/Deploying_SPNEGO
НО это не через сертификаты!

0

@tmyky

ну сложного ничего нет ;)
https://msdn.microsoft.com/en-... 27068.aspx
http://askubuntu.com/questions/27258/importing-pkcs12-p12-files-into-firefox-from-the-command-line
http://stackoverflow.com/questions/1435000/programmatically-install-certificate-into-mozilla
https://www.jasonpearce.com/20... eferences/
http://ss64.com/nt/certutil.html

хотя у нас, индусы, скрипт лепили и инструкцию, кот. только больше запутывала, правда - к нотусятине сертификат отношения не имел - встраивали в УЁ, для подписи в аутглюке (аутлук)

0