Как не пойти в жопу с сертификатами SSL / пидоры помогите :: SSL

пидоры помогитеSSL

Как не пойти в жопу с сертификатами SSL

Всем салют.

Я столкнулся с проблемой в виде необходимости сертификата SSL на Windows для… да для всего.

Запустить новый проект на реакт, ангуляр, .NET (вот буквально минуту назад созданный)? Ок, но при попытке на него зайти, выдаёт ERR_SSL_PROTOCOL_ERROR.

Перепробовал ставить локальный сертификат при помощи powershell скрипта, и mkcert. Всё кладётся, сертификат виден в руте у винды. Ошибку выдаёт один хрен.

Уже и в докер вместе с сертификатом засовывал - не помогает.

На любом другом компе, в том числе и виндоус, всё работает ок, только не на корпоративном (именно с ним и траблы).

КУПОН
НА 1 помощь

пидоры, помогите,пидоры помогите,реактор помоги,SSL

ПыСы: надменность линуксоидов меня отпугнула от линукса на много лет. Теперь сам смотрю на винду и как-то зубы скрипят. Впрочем, не оправдание для понтов, просто никогда ещё не хотелось так расхреначить комп.

Edit: так бомбит, что про вопрос забыл. Кто сталкивался с таким, поделитесь пожалуйста опытом

на корпоративном иди к админам, там может быть политиками безопасности заблокировано

28.12.2024, 15:22

+2,3

Так он и есть админ, судя по контексту.

28.12.2024, 15:26

+2,3

Скорее всего, так и придётся делать. Только ответ будет через 2-4 недели, и далеко не факт что помогут, компания крупная. Уже обсуждал и с безопасниками, и с DevOps, и с командами, которые вроде как решали такое, и с архитекторами - никто не знает.

28.12.2024, 15:33

-4,3

Политиками управляет "дядя" из "центра", а сертификат безопасности ты пытаешься поставить без соответствующего доступа? Я всё правильно понял? Вообще сложно что то разумное посоветовать, не зная вашей внутренней кухни, я бы на вашем месте не парился и довертл бы это дело "дядям из центра", начнёшь сам пытаться - можешь оказаться крайним.

28.12.2024, 15:51

+5,1

Всё верно. А ещё об этом почти никто не знает, то я просто упёртый как осёл, могу неделю просидеть над таким. Таки чесать к админу. Got it. Спасибо

28.12.2024, 15:57

-2,4

Подожди. "На любом другом компе" - эти компы в той же сети что и "корпоративный" сервер ?
"Корпоративный" сервер использует "политики" с сервера "ещё более корпоративного"?
"На любом другом компе, в том числе и виндоус" - эти компы не подчиняются политике "корпоративного" сервера?
Столько вопросов, и так мало ответов :)

28.12.2024, 16:56

0,0

То я плохо объяснил значит. Всё проще.

Компы вне корпоративной сети - работает.
Компы в сети - Error SSL что мы обсуждаем (пробовал на 3х, все windows 11, с одинаковым результатом).

28.12.2024, 17:09

-2,4

Если ты запускаешь сервер (с сертификатом) внутри корпоративной сети, то клиент (допустим браузер) даёт ошибку SSL, если ты запускаешь сервер (с этим же сертификатом) вне корпоративной сети, то всё работает нормально?
Без логов сервера и клиента сложно угадывать. Может действительно рептилоиды (главный админ) сертификаты подменяют, а может банально dns не корректно сконфигурирован.

28.12.2024, 17:23

+0,9

Ах да, там ещё и на корпоративных компах стоит внутренний впн, но это совсем другая кроличья нора, в которую нырять слишком рисково и моя слабо понимать что там.

,пидоры помогите,реактор помоги,SSL

28.12.2024, 17:17

+0,6

VPN он на транспортном уровне, а у тебя проблема на уровне приложений. (VPN в конец списка, даже ниже чем подмена сертификатов).

28.12.2024, 17:59

+0,9

охуенные у вас там специалисты

28.12.2024, 16:26

0,0

Специалисты, без иронии, круты, по их темам. Многое узнал, когда обсуждали темы. Другое дело, что когда имеешь дело со стеной, состоящей из кривых кирпичей и скрытых хаков - то и результат хз

28.12.2024, 16:37

0,0

это и есть их тема. уж точно эта тема им должна быть ближе, чем рандомным пидорам на реакторе

28.12.2024, 16:40

0,0

А ты в dev-сервер его прокидывал? Он из env его берёт, насколько помню.

Чот тип

HTTPS=true SSL_CRT_FILE=./.cert/cert.pem SSL_KEY_FILE=./.cert/key.pem yarn start

Вместо yarn start - команда, которая dev-сервер запускает

28.12.2024, 15:23

+1,8

Пробовал, с тем же результатом. Но спасибо за совет

28.12.2024, 15:27

0,0

"На любом другом компе, в том числе и виндоус, всё работает ок, только не на корпоративном".

28.12.2024, 15:28

+0,9

Я то точно не помогу, но хоть поучаствую.

28.12.2024, 15:29

-0,7

... эта, я не в том смысле что буду унижать "виндузятников" (ну ясен пень, не без этого), а в том смысле, вдруг чего дельного в голову придёт, тем более я же прочитал: "в том числе и виндоус" - значит не всё потеряно.

28.12.2024, 15:37

-2,8

Сертификат нормальный или самоподписаный? Какая система на корпоративном?

28.12.2024, 15:42

+0,9

Самоподписаный, что с другими локальными сервисами работает «вроде как» (на самом деле работает только если запускать прокси сервис, который написан на .NET и доступ к сурсу есть, но сколько я ни лазил, не нашел). Напрямую пока не работает.

Винда 11 с фаерволом и скрытыми прикрутками, о которых я познаю в дороге (к примеру, команда Set-ExecutioPolicy через powershell делает работу, но перебивается «более конкретной политикой», и о таком я уже не знаю)

28.12.2024, 15:48

-0,1

Промежуточный итог: самоподписаный сертификат, работает на всех системах кроме "корпоративной", система (текущий пользователь) его видит, а реакт, ангуляр, .NET - не видят.
В первую очередь, я бы посмотрел на права доступа к сертификату (хранилищу ключей) для учётных записей, от которых запускаются твои сервисы. Во вторую очередь - нужны логи.

28.12.2024, 16:10

+0,9

Хранилище ключей говорит, что все сертификаты на месте (что ставил и ещё Овер 9000 имевшихся), event log повторяет ошибку с сертификатом при заходе на сайт

28.12.2024, 16:29

0,0

"event log повторяет ошибку с сертификатом при заходе на сайт" - это для меня то же самое, что "он там чего то иностранными буквами пишет, я на крестик нажимаю, а он всё равно не работает". По описанию фотографии я диагноз ставить не умею.

28.12.2024, 16:38

+0,9

Без иронии, спасибо за помощь. Я не админ (я разраб), и эта тема у меня пожрала весь фокус, так что я сейчас не могу сконцентрироваться и быть внятным.

Если подмен сертификатов - это не миф, то он 100% есть в компании (которая занимается медицинскими данными и должна соответствовать стандартам вроде ISO 27001 и проверяется агентствами вроде FDA в Америке).

Сперва, выцарапаю админа по этому поводу

28.12.2024, 16:50

0,0

Подмена сертификатов - не миф, попробуй свой сервер запустить на другом порту (не 433 а например на 8446(или на любом другом)), никто не будет выявлять https сессии на всех портах.

28.12.2024, 17:34

+0,9

а зачем тебе вообще ssl локально?

28.12.2024, 17:49

0,0

каспер может мешать, свои сертификаты подсовывать, яндекс браузер тоже к сертификатам привередливый, настройки тлсы ссли в свойствах ИЕксплорера проверить ...

28.12.2024, 15:44

+0,9

если это внутри компании то вероятно там подменяется сертификат на шлюзе для расшифровки трафика? Это прямая дорога к админам, да и вобще с этого стоило начинать

28.12.2024, 15:49

+2,8

> подменяется сертификат на шлюзе для расшифровки трафика

Про этот прикол не знал. Тогда да, звучит как ситуация только с одним выходом

28.12.2024, 16:01

0,0

Да ладно! А как же: "На любом другом компе, в том числе и виндоус, всё работает ок"?
Или это вне корпоративной сети?

28.12.2024, 16:14

+0,9

Если "любые другие компы, в том числе и виндоус" в той же сети что и "корпоративный" сервер, подмену сертификатов можешь опустить в самый конец списка :)

28.12.2024, 16:20

+0,9

Это вне корпоративной сети всё работает. Внутри проверял на своем - не дает, у devops engineering manager’а получилось как-то преодолеть этот барьер, но пока ещё не вкурили как ни я ни он.

28.12.2024, 16:33

0,0

Просто в порядке бреда, самое простое - не идет ли автоматическая переадресация с http на https? Вроде у меня было такое пару лет назад, что хром начал автоматически заходить по
https://localhost:3000 а надо http://localhost:3000

28.12.2024, 15:57

+0,9

Да, перебрасывает автоматом на https, на http даже не попасть. Впрочем, это необходимо, из-за хранения личных данных

28.12.2024, 16:03

0,0

Какие личные данные на локальном сервере... У вас на дев сервере бэк вместо моков реальные данные что ли гоняет... Ну странно это. А переадресация на https решается через chrome://flags, я бы в эту сторону гуглил, если все-таки нужно будет на http попасть

28.12.2024, 16:11

+0,9

Там, как бы, сертификат не встаёт ..., а вы сейчас какую проблему пытаетесь решить?

28.12.2024, 16:22

+0,9

Как я понял проблему - запуск локального сервера для разработки (реакт, ангуляр...) и переход на локалхост. В большинстве случаев там не нужен никакой сертификат и все прекрасно работает по http, но условия могут отличаться. Если на локалхосте строго нужен https, то мне тоже будет интересно решение проблемы, на всякий случай, вдруг пригодится когда...

28.12.2024, 16:28

+0,9

Видимо мы задачу поняли по разному :)
С другой стороны, зачем ставить сертификат, если достаточен доступ по http.

28.12.2024, 16:41

+0,9

Без https много всякого мозгоёбства для секурности. Хотя конкретно для localhost оно, вроде, всё отключено.

01.01.2025, 07:22

0,0

К слову, нам на корпоративных компах на локалхосте никакие сертификаты и https не нужны

28.12.2024, 16:30

+0,9

Кто же спорит. При всём уважении к Вам, Вы даёте решение одной задачи, а задача совсем другая.

28.12.2024, 16:44

+1,1

С браузерами - едж заходит на http, что уже приятно и позволяет жить с пробными проектами. С внутренними сервисами что мы пилим и пашут только на https с подвязкой на другие сервисы (прокси, аутентикатор) - только чесать к админу, как итог

28.12.2024, 16:42

+0,2

dotnet dev-certs https --trust должно помочь если я правильно понял пробелему

28.12.2024, 16:18

+0,9

Пробовал, пишет что траст саксессфул. Но ошибка оставалась

28.12.2024, 16:34

0,0

проверь в разных браузерах. и второе: ты в которое хранилище сертификат клал? для надежности можно напихать вообще во все

28.12.2024, 16:30

+0,9

"проверь в разных браузерах" - на других машинах работает, не работает только на "корпоративном" сервере.
"для надежности можно напихать вообще во все" - как вариант (мне тоже кажется что проблема с правами доступа).

28.12.2024, 16:49

+0,9

на этой же машине в разных браузерах. с ними тоже всякие приколы случаются

28.12.2024, 16:51

+0,9

> ты в которое хранилище сертификат клал?
Trusted Root Certification Authorities

28.12.2024, 16:53

0,0

по идее туда и надо...

28.12.2024, 17:02

+0,9

Ошибку можно погуглить например. В проекте у тебя скорее всего протокол какой нить tls 1.1 а в компании запрещено использовать ниже 1.2.

28.12.2024, 16:36

+1,8

ТС выше написал:

The application-specific permission settings do not grant Local Activation permission for the COM Server application with CLSID
{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}
and APPID
{YYYYYYYY-YYYY-YYYY-YYYY-YYYYYYYYYYYY}
to the user $PIDOR$ SID (S-1-2-34-5678900012-1234567890-1234567890-123456) from address LocalHost (Using LRPC) running in the application container Unavailable SID (Unavailable). This security permission can be modified using the Component Services administrative tool.

Возможно действительно в политике что то такое прописано, а может и ещё что (я в системе управления правами в Windows вообще не разбираюсь).

28.12.2024, 18:13

+0,9

Ну если тс. Ещё не решил проблему, то я тут вижу 2 варианта. Обя связан с правами. В простом варианте, система видит что проект собирается из напроч дырявых плагинов и блокирует их. В таком случае надо просто обновить плагины. Во втором случае, просто нет прав на компоненты. Надо идти Component Services -> Computers ->My Computer -> DCOM Config; и там с правами разбираться на модули. ЧСХ, все это легко гуглится. Я только не понял, на том самом рабочем компе права админа есть или нет?

31.12.2024, 05:00

+0,9

Не решил, это решится только где-то через месяц, может две недели, когда гляну вместе с админом.

Глянул конфиги, сразу выдает, что мой AppID не записан под HKEY_CLASSES_ROOT и предлагает записать. Я бы попробовал на своём (админка то есть), но делать то, что не знаешь на корпоративном - плохая идея.

За наводку - спасибо. Я и не подозревал, что есть такое в винде. А за «легко гуглится» - будь добр пойти нахуй, ибо токсичное. Одно дело сказать такое заебавшему новичку, который сам искать не хочет. Другое дело, что я над этой сисадминской темой корячусь уже три недели, гугля всё и вся, ибо на старте понятия не имел, как на практике настраиваются сертификаты (жрёт фокус и время, и отсутствие восприятия прогресса не помогает). Не говоря уже то, что я фуллстек разраб, а не сисадмин / платформ инженер, хоть и на предыдущем месте хуярил много терраформ с ямлами для поднятия сервисов.

31.12.2024, 16:25

+0,6

Ну, нахуй слать тоже дело такое. Назвался фулстаком, будь добр со стаком со своим разберись. Https как бы не вчера стандартом стал. Сложно ну сложно, чито поделать. Зато после этого глубже понимание происходящего будет.

01.01.2025, 08:55

+0,9

ПыСы: я отпишусь как получится решить. Как - пост-история, или просто кусочек документации - то уже потом решу. Такое пилить надо всё равно, чтоб другие не ломали себе голову в неизвестности

31.12.2024, 16:38

+0,6

виндовый curl что пишет? C:\Windows\System32\curl.exe -v https://hostname

28.12.2024, 20:38

+1,2

The request was aborted: Could not create SSL/TLS secure channel.

С http нормально, получает данные с кодом 200

31.12.2024, 16:55

0,0

Я думаю, что в этом разделе что-то важное было убрано:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Cryptography\Configuration\Local\SSL . Сравни содержимое с теми машинами, откуда работает.

31.12.2024, 17:31

+0,9

Ебать тут переписка инопланетян... Я просто мимо шел

каракурт

29.12.2024, 01:30

+0,9

А в каком инструменте ты видишь ошибку? Браузером каким-то заходишь? Если хром и на движке хромиум, то им нужно непосредственно в них сертификаты добавить. Так же проверь, что за сертификат тебе показывает в ошибке тк часто, как выше писали, корп прокси перепаковывает все сертификаты, и, возможно, сам корп прокси от клиента не хочет видеть определённый протокол. Отпишись челу выше о том, что curl пишет, станет понятнее в разы

29.12.2024, 17:30

+0,9

Пробовал хром, эдж, и curl как товарищ выше предложил. Узнал, кстати, что хром автоматом кидает с http на https, может настройка какая. Но это так, иметь в виду.

> корп прокси перепаковывает все сертификаты
Это, или у меня разрешений на моего пользователя нет, как описано ещё чуть выше. Исправить можно, админка есть и человек выше показал как. Но лезть сам не буду, ибо эту матчасть я не вкурил и могу что-то поломать. Потом как решу отпишусь пошагово что и как было

31.12.2024, 17:01

+0,3

В хром ты импортировал корп рутовые сертификаты и жмакнул «доверять»?

31.12.2024, 17:32

+0,9

Я этого не делал, но когда получил комп, то там уже был хром, скорее всего всё было сделано до меня

31.12.2024, 18:08

0,0

Лучше чекни. Я работал в нескольких кровавых Энтерпрайзах, и везде ты должен был это делать сам )

01.01.2025, 05:52

+0,9

Чтобы написать коммент, необходимо залогиниться

Похожие посты ↓↓↓

4945848, 5993355, 5987683, 5987338, 5984174, 5992899, 5988040, 5980851, 5978584, 5993332, 5978497, 5977850, 5977558, 5983747, 5974452

Юмор

Комиксы

art

песочница

geek

Основные разделы

Эротика

anon

политота

фэндомы

разное

Собираем на сервера

В этом месяце собрано $40.59 из $1360.00.

Тренды

Наши любимые теги

Топ комментов

А бывает, комменты лучше постов. Смотрим топ тредов и вникаем!

+160.48от Olaf_SD

+120.91от tankjr

+97.15от Myshok

+88.58от Seme4ka33

+83.2от Ushwood

+81.97от xen0rage

+79.5от SobakaBalabaka

+69.93от zloybot

+67.86от Sonny

10-e место

+66.07от Tlanexyotl