Re: [devel] Q: SSL/TLS in ALT Linux

["Konstantin A. Lepikhov" <lakostis@altlinux.org>]

[-- Attachment #1: Type: text/plain, Size: 2671 bytes --]

Hi Mikhail!

Sunday 04, at 04:55:39 PM you wrote:

> > Как у нас принято вводить policy в действие?
> 
> У нас сейчас есть пакет openssl и libssl4/ssl6.
> /var/lib/ssl/certs/ca-bundle.crt лежит в openssl. Правда жизни в том,
> что openssl никто не requires, все хотят только библиотеки libssl*, и,
> видимо, носят CA bundle с собой, либо не носят и ломаются, если пакет
> openssl удалить.
> 
> У нас есть кто-нибудь, кто будет использовать общее хранилище
> сертификатов CA и при этом не хочет быть завязан на openssl? Как
> минимум, есть gnutls, который вроде бы является альтерантивной
> реализацией - но там тоже все носят сертификаты с собой?
еще есть NSS и все, что его использует
(firefox/thunderbird/xulrunner/seamonkey). BTW, если дима ничего не менял
относительно моей сборки libssl, то /var/lib/ssl/certs/ca-bundle.crt
должен быть из NSS. 

> 
> Если таких нет - то:
> 
> 1.1. Объявляем единым хранилищем то, что в пакете openssl
> 
> Если есть такие:
> 
> 1.1. Выделяем хранилище CA public certs в отдельный noarch-пакет
> 1.2. Пересобираем openssl с использованием хранилища из этого отдельного
> пакета.
> 
> Дальше:
> 
> 2.1. Объявляем полиси вступившим в действие, переносим его с
> http://www.freesource.info/wiki/Altlinux/Policy на
> http://wiki.sisyphus.ru/devel/policy
> 
> 2.2. Смотрим, какие пакеты у нас носят такое хранилище с собой. По
> предварительным подсчетам это:
> 
> # grep $'\.pem\t' /Sisyphus/i586/base/contents_index >$TMPDIR/suspicious
> # grep $'\.crt\t' /Sisyphus/i586/base/contents_index >>$TMPDIR/suspicious
> # cut -f2 $TMPDIR/suspicious | sort -u
> 
> MySQL-server
гон. Там только примеры сертификатов.

> monit
аналогично

> mutt1.5
> stunnel
аналогично

> uw-imap
аналогично

> 2.3. Каждый из этих пакетов смотрим глазами (благо, их немного) и
> рассылаем их мейнтейнерам предупреждения и инструкции, что требуется
> сделать.
> 2.4. Ждем grace time, допустим, неделю.
> 2.5. Вешаем баги + чиним своими силами через NMU.
> 2.6. Вводим в sisyphus_check проверку: по собранному пакету нужно
> пройтись, в каждом файле поискать "-----BEGIN CERTIFICATE-----" и
> "-----END CERTIFICATE-----". Если такое нашлось - то с помощью:
> 
> openssl -in имяфайла -text -noout -purpose
> 
> вытащить информацию по сертификату и посмотреть, является ли сертификат.
> Это полумера, недостаточная для 100% уверенности, но по-моему, это
> лучше, чем ничего.
> 2.7. Вводим соответствующий макрос relaxed, чтобы отключить эту проверку.
бредовая затея. Проще вправлять мозги апстриму на предмет использования
OPENSSL_config(3) перед проверкой сертификатов.

-- 
WBR et al.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]