Приложение 4. Работа с сертификатами
В приложении приведен скрипт, иллюстрирующий возможности работы сетевых средств с сертификатами и ключами.
В скрипте демонстрируется выполнение следующих функций:
-
удаление старых файлов и каталогов;
-
создание структуры каталогов УЦ (Удостоверяющего Центра, (Certification authority, CA));
-
создание самоподписного сертификата и ключа корневого УЦ:
-
создание запроса сертификата и ключа без пароля;
-
подписание своего сертификата своим ключом;
-
копирование сертификата с выкидыванием текстовой информации.
где:
RootCACert.pem – корневой сертификат.
./demoCA/private/./cakey.pem – ключ.
-
-
создание промежуточного УЦ:
-
создание запроса сертификата и ключа;
-
подписание сертификата промежуточного УЦ корневым УЦ;
-
копирование с выкидыванием текстовой информации;
-
добавление в сертификат промежуточного УЦ сертификата корневого УЦ;
-
переименование структуры каталогов корневого УЦ в demoCARoot;
-
создание структуры каталогов промежуточного УЦ;
-
копирование сертификата и ключа в нужные каталоги дерева.
где:
cacert.pem – сертификат промежуточного УЦ.
IntermCA.key – ключ промежуточного УЦ.
-
-
создание сертификатов 1 клиента:
-
создание ключа и запроса на сертификат;
-
создание самоподписного сертификата;
-
подписание сертификата УЦ;
-
удаление из сертификата текста.
где:
client1.key – ключ.
client1SS.crt – самоподписной сертификат.
client1.crt – сертификат, подписанный промежуточным УЦ.
-
-
создание сертификатов 2 клиента:
-
аналогично первому, но с цифрой 2.
где:
client2.key – ключ.
client2SS.crt – самоподписной сертификат.
client2.crt – сертификат, подписанный промежуточным УЦ.
-
-
создание сертификатов сервера.
где:
server.key – ключ.
serverSS.crt – самоподписной сертификат.
server.crt – сертификат, подписанный промежуточным УЦ.
-
создание сертификатов 2 сервера.
где:
server1.key – ключ.
server1SS.crt – самоподписной сертификат.
server1.crt – сертификат, подписанный промежуточным УЦ.
-
создание каталогов сетевого клиента и сетевого сервера.
Предполагается что один из каталогов является каталогом валидного клиента или сервера, а второй – нарушителя.
Создание
nodetabдля работы незащищенного соединения, защищенного SSL23 и TLS с именами MYOPEN MYSSL и MYTLS соответственно в каталогах клиентов.где:
dbs_tcp – каталог сервера.
dbs_tcp1 – каталог нарушителя сервера.
dbc_tcp1 – каталог клиента.
dbc_tcp2 – каталог нарушителя.
-
создание каталога БД и собственно БД. Предварительно убиваются существующие ядра СУБД ЛИНТЕР и сетевые драйвера.
-
проверка простого зашифрованного соединения:
-
запуск сетевых драйверов в соответствующих пустых каталогах;
-
проверка удачного соединения по всем 3 протоколам;
-
останов драйверов.
Все соединения успешны, поскольку нет работы с сертификатами и контроля клиента и сервера соответственно.
-
-
проверка отсечения работы по незащищенному каналу:
-
запуск сетевых драйверов dbs_tcp с опцией запрещения работы по незащищенному соединению;
-
попытка соединения по 3 протоколам;
-
останов драйверов.
Соединение по незащищенному каналу неуспешно.
-
-
копирование самоподписных сертификатов и ключей в соответствующие каталоги запуска.
Сертификаты используются для идентификации клиента и сервера. Также сертификаты определяют протокол соединения. Например, ГОСТ-сертификаты предполагают ГОСТ-алгоритм. Чтобы работало везде используется DSA-сертификаты. В каталоге сервера ключи и сертификаты должны иметь имена dbs_tcp.key и dbs_tcp.crt, в каталоге клиента – dbc_tcp.key и dbc_tcp.crt соответственно.
-
запуск dbc и dbs:
-
dbs запускается с дополнительным ключом аутентификации клиента;
-
незащищенное соединение неуспешно;
-
защищенные соединения успешны;
-
повторные защищенные соединения также успешны;
-
при повторном соединении производится сверка сертификатов.
-
-
попытка подмены адреса клиента:
-
перезапуск клиента в другом каталоге. Поскольку ключи и сертификаты заменены – это эквивалентно попытке работы другого клиента с этого же адреса;
-
поскольку сравнение сертификатов прошло неуспешно, все 3 соединения неуспешны:
-
незащищенное – поскольку запрещено;
-
защищенные – из-за разницы в сертификатах.
-
-
-
подмена адреса сервера:
-
останов всех сетевых серверов;
-
запуск dbc в правильном каталоге, а dbs в каталоге с другими сертификатами. Результат, как в предыдущем пункте, поскольку не совпадают сохраненные сертификаты клиентов;
-
останов сетевых драйверов.
-
-
запрет работы без сертификатов:
-
удаление всех сохраненных сертификатов;
-
запуск dbs с соответствующей дополнительной опцией;
-
несмотря на присутствие своих правильных сертификатов, соединения неуспешны из-за отсутствия сертификатов;
-
копирование нужного сертификата в каталог dbs_tcp восстанавливает возможность соединения.
-
-
удаление всех старых сертификатов, как самоподписных, так и сохраненных:
-
копирование сертификатов, подписанных УЦ, в соответствующие каталоги;
-
повторение проверок п.п. 14, 15, 16 для сертификатов УЦ.
-
-
проверка отсутствия соединения с сертификатами, не подписанными УЦ.
Эта проверка включается при наличии сертификата(ов) УЦ в текущем каталоге. Они должны называться dbc_tcp.CA и dbs_tcp.CA соответственно для клиента и сервера. В то же время для соединения используются самоподписные сертификаты. В случае неподписанных сертификатов и активации проверки подписи УЦ SSL соединение проходит успешно, а TLS нет, поскольку сертификат подписан не тем УЦ, которому доверяют клиент и сервер.
Сохранение и сверка сертификатов продолжает работать (для SSL).
-
проверка, соединения с сертификатами, подписанными УЦ.
Восстановление подписанных УЦ сертификатов в соответствующих каталогах. И SSL и TLS соединение успешно.
Сверка сертификатов продолжает работать верно – подмена адреса не проходит.
-
проверка списка отозванных сертификатов (CRL):
-
отзываем сертификат у клиента;
-
формируем список отозванных сертификатов;
-
копируем его в каталог сервера с именем dbs_tcp.CRL;
-
после этого попытка соединения по TLS протоколу неуспешна, потому что сертификат клиента недействителен (присутствует в списке CRL).
-
-
выдача клиенту нового сертификата и ключа, чтобы они были валидными. Замена ключей на валидные.
-
проверка восстановления ключей клиента. Соединения проходят успешно.
-
отзыв сертификата сервера. Список отозванных сертификатов копируется клиенту.
-
после отозвания сертификата сервера установка соединения с ним по TLS протоколу неуспешна. SSL продолжает работать как было.
Скрипт может быть вызван без аргументов для работы с промежуточным УЦ.
Аргумент no_interm используется для работы без промежуточного УЦ.
Аргумент clean используется для очистки результатов работы.
#!/bin/sh
KEY_LEN=512
arg=$1 #clean no_interm
if [ "$arg" = "-h" -o "$arg" = "--help" -o "$arg" = "?" ]; then
echo "usage: keys.sh [clean] [no_interm]
clean - remove all test files
no_interm - use only one root CA whithout intermediate CA"
fi
#1
rm -rf ./demoCA
rm -rf ./demoCARoot
rm -rf ./dbc_tcp1
rm -rf ./dbc_tcp2
rm -rf ./dbs_tcp
rm -rf ./dbs_tcp1
rm -rf db
rm -f client1*
rm -f client2*
rm -f server*
rm -f RootCACert*
rm -f IntermCA*
rm -f cacert.pem
rm -f CRL.pem
rm -f RootCRL.pem
if [ "$arg" = "clean" ]; then
exit
fi #clean
#2
mkdir -p ./demoCA
mkdir -p ./demoCA/certs
mkdir -p ./demoCA/crl
mkdir -p ./demoCA/newcerts
mkdir -p ./demoCA/private
chmod og-rwx ./demoCA/private
touch ./demoCA/index.txt
#3
#creating self signed sertificate of root CA
#creating key and request
openssl req -new -keyout ./demoCA/private/./cakey.pem -newkey rsa:$KEY_LEN
-nodes \
-days 100 -set_serial 100 -out ./demoCA/./careq.pem \
-subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\ ltd/OU=System\
develop/CN=RootCA\/emailAddress=RootCA@relex.ru
echo "00" > ./demoCA/serial
#self sign the sertificate
openssl ca -out ./demoCA/./cacert.pem -days 100 -batch -keyfile \
./demoCA/private/./cakey.pem -selfsign -extensions v3_ca -infiles
./demoCA/./careq.pem
#copy the certificate without text info
openssl x509 -in ./demoCA/./cacert.pem -out ./RootCACert.pem
#4
if [ "$arg" != "no_interm" ]; then
#creating intermediate CA
#creating request for the sertificate
openssl req -keyout IntermCA.key -newkey rsa:$KEY_LEN -nodes -days 100
-set_serial 1000 \
-out IntermCA.req -subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\
ltd/OU=System\ develop/CN=IntermCA\/emailAddress=IntermCA@relex.ru
#sign the request by root CA
openssl ca -batch -days 100 -policy policy_anything -extensions v3_ca -out
IntermCA.crt -in IntermCA.req
openssl x509 -in IntermCA.crt -out ./cacert.pem
#add Root certificate to intermediate certificate
cat RootCACert.pem > > cacert.pem
rm -f IntermCA.req
#rename root storage
mv ./demoCA ./demoCARoot
#create intermediate storage
mkdir -p ./demoCA
mkdir -p ./demoCA/certs
mkdir -p ./demoCA/crl
mkdir -p ./demoCA/newcerts
mkdir -p ./demoCA/private
chmod og-rwx ./demoCA/private
touch ./demoCA/index.txt
cp cacert.pem ./demoCA/./cacert.pem
cp IntermCA.key ./demoCA/private/./cakey.pem
else # no_intermediate
mv RootCACert.pem cacert.pem
fi #no_intermediate
echo "10" > ./demoCA/serial
#5
#creating client request client 1
openssl req -keyout client1.key -newkey rsa:$KEY_LEN -nodes -days 100
-set_serial 01 \
-out client1.req -subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\
ltd/OU=System\ develop/CN=Client1\/emailAddress=c1@relex.ru
#creating self signed sertificate for the client
openssl x509 -req -days 365 -in client1.req -signkey client1.key -out
client1SS.crt
#sign the request of client 1
openssl ca -batch -days 100 -policy policy_anything -out client1_.crt -in
client1.req
openssl x509 -in client1_.crt -out client1.crt
rm -f client1.req client1_.crt
#6
#creating client request client 2
openssl req -keyout client2.key -newkey rsa:$KEY_LEN -nodes -days 100
-set_serial 02 \
-out client2.req -subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\
ltd/OU=System\ develop/CN=Client2\/emailAddress=c2@relex.ru
#creating self signed sertificate for the client
openssl x509 -req -days 365 -in client2.req -signkey client2.key -out
client2SS.crt
#sign the request of client 2
openssl ca -batch -days 100 -policy policy_anything -out client2_.crt -in
client2.req
openssl x509 -in client2_.crt -out client2.crt
rm -f client2_.crt client2.req
#7
#creating server request
openssl req -keyout server.key -newkey rsa:$KEY_LEN -nodes -days 100 -set_serial
20 \
-out server.req -subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\
ltd/OU=System\ develop/CN=Server\/emailAddress=s@relex.ru
#creating self signed sertificate for the server
openssl x509 -req -days 365 -in server.req -signkey server.key -out serverSS.crt
#sign the server request
openssl ca -batch -days 100 -policy policy_anything -out server_.crt -in
server.req
openssl x509 -in server_.crt -out server.crt
rm -f server.req server_.crt
#8
#creating server request
openssl req -keyout server1.key -newkey rsa:$KEY_LEN -nodes -days 100
-set_serial 21 \
-out server1.req -subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\
ltd/OU=System\ develop/CN=Server\/emailAddress=s1@relex.ru
#creating self signed sertificate for the server
openssl x509 -req -days 365 -in server1.req -signkey server1.key -out
server1SS.crt
#sign the request of server
openssl ca -batch -days 100 -policy policy_anything -out server1_.crt -in
server1.req
openssl x509 -in server1_.crt -out server1.crt
rm -f server1_.crt server1.req
#9
mkdir dbs_tcp
mkdir dbs_tcp1
mkdir dbc_tcp1
mkdir dbc_tcp2
cd dbc_tcp1
echo "MYOPEN TCPIP localhost 1060 1 20 20
MYSSL TCPIPS localhost 1060 1 20 20
MYTLS TLS localhost 1060 1 20 20" > nodetab
cp nodetab ../dbc_tcp2
cd ..
#10
killall linter
killall dbc_tcp
killall dbs_tcp
sleep 2
rm -rf db
mkdir db
export SY00=`pwd`/db
echo "cre da;" | gendb
linter
sleep 3
pwd
#11
#check simple connect
cd dbs_tcp
dbs_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN || {
echo "failed to open"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "failed to ssl simple connect"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "failed to tls simple connect"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#12
#check ssl only flag
cd dbs_tcp
dbs_tcp -SSLONLY -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "failed to open success"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "failed to ssl sslonly"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "failed to tls sslonly"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#13
#coping the self signed sertificates to check work with its
cp serverSS.crt dbs_tcp/dbs_tcp.crt
cp server.key dbs_tcp/dbs_tcp.key
cp server1SS.crt dbs_tcp1/dbs_tcp.crt
cp server1.key dbs_tcp1/dbs_tcp.key
cp client1SS.crt dbc_tcp1/dbc_tcp.crt
cp client1.key dbc_tcp1/dbc_tcp.key
cp client2SS.crt dbc_tcp2/dbc_tcp.crt
cp client2.key dbc_tcp2/dbc_tcp.key
#14
#checking sertificate compare
#rm -f dbs_tcp/*.log dbc_tcp1/*.log
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "failed to open success"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "failed to ssl certif"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "failed to tls certif"
exit
}
killall dbc_tcp
sleep 3
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "failed to ssl certif"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "failed to tls certif"
exit
}
#15
#try the client from the same address with other sertificate
killall dbc_tcp
sleep 3
cd dbc_tcp2
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "failed to open unprotected"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "failed to ssl alien sert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "failed to tls alien sert"
exit
}
#16
#try the server with other sertificate
killall dbc_tcp
killall dbs_tcp
sleep 3
cd dbc_tcp1
#rm *.log
dbc_tcp -debug=0xFFFFFFFF
cd ..
cd dbs_tcp1
dbs_tcp -debug=0xFFFFFFFF #no authentification. Can receive all connections !!
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "failed to ssl alien srv sert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "failed to tls alien srv sert"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#17
#checking crtificate without creation
rm -f dbs_tcp/127.0.0.1.crt
rm -f dbc_tcp1/MYSSL.crt
rm -f dbc_tcp1/MYTLS.crt
cd dbc_tcp1
dbc_tcp -debug=0xFFFFFFFF
cd ..
cd dbs_tcp
dbs_tcp -debug=0xFFFFFFFF -SSLAUTH -SSLNOCREAT
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "failed to tls no cert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "failed to ssl no cert"
exit
}
cp -f client1SS.crt dbs_tcp/127.0.0.1.crt
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "failed to ssl no cert ok"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "failed to tls no cert ok"
exit
}
killall dbs_tcp
killall dbc_tcp
sleep 3
#18
#checking of all OLD (before 01.12) has done
#checking the same with CA signed sertificates
#coping the CA signed sertificates to check work with its
rm -f dbs_tcp/*.crt #removing old self signed cert and saved cert
rm -f dbc_tcp1/*.crt
rm -f dbs_tcp1/*.crt
rm -f dbc_tcp2/*.crt
cp -f server.crt dbs_tcp/dbs_tcp.crt
cp -f server1.crt dbs_tcp1/dbs_tcp.crt
cp -f client1.crt dbc_tcp1/dbc_tcp.crt
cp -f client2.crt dbc_tcp2/dbc_tcp.crt
#checking sertificate compare
#rm -f dbs_tcp/*.log dbc_tcp1/*.log
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "CA failed to open success"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "CA failed to ssl certif"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "CA failed to tls certif"
exit
}
killall dbc_tcp
sleep 3
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "CA failed to ssl certif rep"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "CA failed to tls certif rep"
exit
}
#try the client from the same address with other sertificate
killall dbc_tcp
sleep 3
cd dbc_tcp2
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "CA failed to open unprotected"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "CA failed to ssl alien sert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "CA failed to tls alien sert"
exit
}
#try the server with other sertificate
killall dbc_tcp
killall dbs_tcp
sleep 3
cd dbc_tcp1
#rm *.log
dbc_tcp -debug=0xFFFFFFFF
cd ..
cd dbs_tcp1
dbs_tcp -debug=0xFFFFFFFF #no authentification. Can receive all connections !!
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "CA failed to ssl alien srv sert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "CA failed to tls alien srv sert"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#19
#checking woiking TLS with CA
#resore back the self signed sertificates
rm -f dbs_tcp/*.crt #removing old self signed cert and saved cert
rm -f dbc_tcp1/*.crt
rm -f dbs_tcp1/*.crt
rm -f dbc_tcp2/*.crt
cp -f serverSS.crt dbs_tcp/dbs_tcp.crt
cp -f server1SS.crt dbs_tcp1/dbs_tcp.crt
cp -f client1SS.crt dbc_tcp1/dbc_tcp.crt
cp -f client2SS.crt dbc_tcp2/dbc_tcp.crt
#copyng the CA certificate
cp cacert.pem dbs_tcp/dbs_tcp.CA
cp cacert.pem dbs_tcp1/dbs_tcp.CA
cp cacert.pem dbc_tcp1/dbc_tcp.CA
cp cacert.pem dbc_tcp2/dbc_tcp.CA
#rm -f dbs_tcp/*.log dbc_tcp1/*.log
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "wCA failed to open success"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "wCA failed to ssl certif"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "wCA failed to tls certif"
exit
}
#try the client from the same address with other sertificate
killall dbc_tcp
sleep 3
cd dbc_tcp2
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "wCA failed to open unprotected"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "wCA failed to ssl alien sert"
exit
}
#must be failed because the sertificate is not signed by the CA
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "wCA failed to tls alien sert"
exit
}
#try the server with other sertificate
killall dbc_tcp
killall dbs_tcp
sleep 3
cd dbc_tcp1
#rm *.log
dbc_tcp -debug=0xFFFFFFFF
cd ..
cd dbs_tcp1
dbs_tcp -debug=0xFFFFFFFF #no authentification. Can receive all connections !!
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "CA failed to ssl alien srv sert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "CA failed to tls alien srv sert"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#20
#restore back the CA signed sertificates
rm -f dbs_tcp/*.crt #removing old self signed cert and saved cert
rm -f dbc_tcp1/*.crt
rm -f dbs_tcp1/*.crt
rm -f dbc_tcp2/*.crt
cp -f server.crt dbs_tcp/dbs_tcp.crt
cp -f server1.crt dbs_tcp1/dbs_tcp.crt
cp -f client1.crt dbc_tcp1/dbc_tcp.crt
cp -f client2.crt dbc_tcp2/dbc_tcp.crt
rm -f dbs_tcp/*.log dbc_tcp1/*.log
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "waCA failed to open success"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "waCA failed to ssl certif"
exit
}
#the sertificate is signed so the connect should be success
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "waCA failed to tls certif"
exit
}
#try the client from the same address with other sertificate
killall dbc_tcp
sleep 3
cd dbc_tcp2
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "waCA failed to open unprotected"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "waCA failed to ssl alien sert"
exit
}
#must be failed because the sertificate is not signed by the CA
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "waCA failed to tls alien sert"
exit
}
#try the server with other sertificate
killall dbc_tcp
killall dbs_tcp
sleep 3
cd dbc_tcp1
#rm *.log
dbc_tcp -debug=0xFFFFFFFF
cd ..
cd dbs_tcp1
dbs_tcp -debug=0xFFFFFFFF #no authentification. Can receive all connections !!
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL && {
echo "waCA failed to ssl alien srv sert"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "waCA failed to tls alien srv sert"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#21
#creating CRL for the sertificate
echo "10" >./demoCA/crlnumber
openssl ca -revoke client1.crt
openssl ca -gencrl -out CRL.pem
if [ "$arg" != "no_interm" ]; then
mv demoCA demoCAinter
mv demoCARoot demoCA
echo "00" >./demoCA/crlnumber
openssl ca -gencrl -out RootCRL.pem
cat RootCRL.pem > > CRL.pem #concatenate both CRL
mv demoCA demoCARoot
mv demoCAinter demoCA
fi #no_interm
cp CRL.pem dbs_tcp/dbs_tcp.CRL
#rm -f dbs_tcp/*.log dbc_tcp1/*.log
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYOPEN && {
echo "cwaCA failed to open success"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "cwaCA failed to ssl certif"
exit
}
#now it should failed because the client sertificate was revoked
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "cwaCA failed to tls certif"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#22
#creating new client request for client 1
rm -f client1.key client1.req client1.crt client1SS.crt
openssl req -keyout client1.key -newkey rsa:$KEY_LEN -nodes -days 100
-set_serial 01 \
-out client1.req -subj /C=RU/ST=Voronezh\ region/L=Voronezh/O=Relex\
ltd/OU=System\ develop/CN=Client1_new\/emailAddress=c1@relex.ru
#creating self signed sertificate for the client
openssl x509 -req -days 365 -in client1.req -signkey client1.key -out
client1SS.crt
#sign the request of client 1
openssl ca -batch -days 100 -policy policy_anything -out client1_.crt -in
client1.req
openssl x509 -in client1_.crt -out client1.crt
rm -f client1.req client1_.crt
#replace client keys
cp -f client1.key dbc_tcp1/dbc_tcp.key
cp -f client1.crt dbc_tcp1/dbc_tcp.crt
rm -f dbs_tcp/127.0.0.1.crt
#cp -f client1.crt dbs_tcp/127.0.0.1.crt
#23
rm -f dbs_tcp/*.log* dbc_tcp1/*.log*
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "ssl after restoring crt"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS || {
echo "tls after restoring crt"
exit
}
killall dbc_tcp
killall dbs_tcp
sleep 3
#24
# revoke server sertificate
rm -f CRL.pem
openssl ca -revoke server.crt
openssl ca -gencrl -out CRL.pem
if [ "$arg" != "no_interm" ]; then
mv demoCA demoCAinter
mv demoCARoot demoCA
openssl ca -gencrl -out RootCRL.pem
cat RootCRL.pem > > CRL.pem #concatenate both CRL
mv demoCA demoCARoot
mv demoCAinter demoCA
fi #no_interm
cp CRL.pem dbc_tcp1/dbc_tcp.CRL
#25
rm -f dbs_tcp/*.log* dbc_tcp1/*.log*
cd dbs_tcp
dbs_tcp -SSLONLY -SSLAUTH -debug 0xFFFFFFFF
sleep 3
cd ..
cd dbc_tcp1
dbc_tcp -debug 0xFFFFFFFF
sleep 3
cd ..
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYSSL || {
echo "ssl after revoke serv crt"
exit
}
echo 'select count(*) from $$$USR;' | inl -u SYSTEM/MANAGER8 -n MYTLS && {
echo "tls after revoke srv crt"
exit
}
killall dbs_tcp
killall dbc_tcp
killall linter
sleep 3
echo success