☰

Не удалось выполнить согласование TLS на ldaps:// - предупреждение sslv3 о плохой записи mac

tag-icon • tag-icon openssl tls openldap
Не удалось выполнить согласование TLS на ldaps:// - предупреждение sslv3 о плохой записи mac

Мы столкнулись с проблемой в одной из наших сред openldap: при включении безопасных запросов через ldaps:// наша среда интеграции продолжает возвращать следующую ошибку команде ldapsearch:

SSL3_READ_BYTES:sslv3 alert bad record mac

в то время как та же команда, указывающая на нашу производственную среду, подключается правильно и возвращает соответствующие записи. Тот же запрос к среде интеграции через порт 389 и ldap:// также работает.

Оба работают под управлением следующих версий:

  • Red Hat Enterprise Linux Server, выпуск 6.2 (Сантьяго)
  • OpenLDAP: slapd 2.4.23
  • OpenSSL 1.0.0-fips

У каждого из них есть свой сертификат, подписанный одним и тем же центром сертификации.

В нашей интеграционной среде:

/etc/openldap/slapd.d/cn\=config.ldif :

olcTLSCACertificateFile: /etc/openldap/certs/root_CA.pem
olcTLSCertificateFile: /etc/openldap/certs/openldapint.pem
olcTLSCertificateKeyFile: /etc/openldap/certs/openldapint.key

И в том же файле производственная среда:

olcTLSCACertificateFile: /etc/openldap/certs/root_CA.pem
olcTLSCertificateFile: /etc/openldap/certs/openldapPRO.pem
olcTLSCertificateKeyFile: /etc/openldap/certs/openldap.key

И мы можем проверить эту проблему, выполнив следующие действия:

$ openssl s_client -connect localhost:636 -showcerts -CApath /etc/openldap/cert/root_CA.pem
CONNECTED(00000003)
depth=1 L = (...), OU = (...), CN = (...)
verify error:num=19:self signed certificate in certificate chain
verify return:0
139866277001032:error:140943FC:SSL routines:SSL3_READ_BYTES:sslv3 alert bad record mac:s3_pkt.c:1193:SSL alert number 20
139866277001032:error:140790E5:SSL routines:SSL23_WRITE:ssl handshake failure:s23_lib.c:184:
---

Есть идеи, в чем проблема и как настроить наш безопасный LDAPS:// для OpenLDAP?

Спасибо!

решение1

SSL3_READ_BYTES:sslv3 оповещение плохая запись mac

Судя по всему, это ошибка OpenSSL. СмотритеОшибка Debian 212410иОшибка Debian 338006.

Вот похожая проблема для версии 1.0.0, обсуждаемая в списке рассылки OpenSSL:Ошибка OpenSSL SSL_Accept.

Существовала ошибка AES-NI, которая приводила к появлению похожего сообщения, но она была обнаружена в версии 1.0.1c и исправлена ​​в версии 1.0.1d (и она затрагивала TLS 1.1 и TLS 12) (см.ЖУРНАЛ ИЗМЕНЕНИЙ).

Я думаю, что, вероятно, применимы стандартные рекомендации: убедитесь, что вы и другая конечная точка используете последнюю версию OpenSSL.

Связанный контент