[Eppnicbr] Certificado SSL

[Hugo Koji Kobayashi]

Cesar,

Tanto o certificado para testes como os certificados para produção são
assinados pelo certificado que se encontra no arquivo root.pem, o qual
é distribuído na libepp_nicbr.

Basta importar este certificado raiz (self-signed como outro
certificado raiz qualquer) na sua base de CA confiáveis. Via openssl
você importa isto pela seguinte interface:

http://www.openssl.org/docs/ssl/SSL_CTX_load_verify_locations.html

Não há previsão para utilização de certificados assinados por
terceiros.

Hugo

On Wed, Jul 19, 2006 at 11:48:55AM -0300, Cesar Fazan wrote:
>     Depois de muito quebrar a cabeça tentando efetuar a conexão com o 
> servidor EPP do Registro.br utilizando as linguagens perl e php, encontrei o 
> erro acusando sobre o certificado ssl ser auto-assinado.
> 
>     O servidor EPP de produção também utiliza certificado auto-assinado?
>     Isso irá mudar no futuro para uma maior compatibilidade?
> 
>     No php5 encontrei uma forma de conseguir conectar utilizando o arquivo 
> client.pem encontrado na libepp_nicbr, porém sem sucesso com php4 e perl.
> 
>     Encontrei o erro após a execução do comando
> > openssl s_client -tls1 -crlf -connect beta.registro.br:700
> 
> CONNECTED(00000003)
> depth=1 /C=BR/ST=Sao Paulo/L=Sao 
> Paulo/O=Registro.br/OU=EPP/CN=registro.br/emailAddress=epp at registro.br
> verify error:num=19:self signed certificate in certificate chain
> verify return:0
> 46294:error:14094410:SSL routines:SSL3_READ_BYTES:sslv3 alert handshake 
> failure:/usr/src/secure/lib/libssl/../../../crypto/openssl/ssl/s3_pkt.c:1052:SSL 
> alert number 40
> 46294:error:1409E0E5:SSL routines:SSL3_WRITE_BYTES:ssl handshake 
> failure:/usr/src/secure/lib/libssl/../../../crypto/openssl/ssl/s3_pkt.c:529:
> 
> 
>     Quando eu peço para o openssl ler o certificado client.pem ele conecta 
> sem problemas, mas isso não torna muito pratico o processo de criação das 
> APIs.
> 
>     Testei conexões com outros servidores EPP como EURid, Centralnic sem 
> nenhum problema já que os mesmos não utilizavam certificados auto-assinado.
> 
>     Abaixo o resultado do openssl lendo o client.pem
> 
> > openssl s_client -tls1 -crlf -cert client.pem -connect 
> > beta.registro.br:700
> CONNECTED(00000003)
> depth=1 /C=BR/ST=Sao Paulo/L=Sao 
> Paulo/O=Registro.br/OU=EPP/CN=registro.br/emailAddress=epp at registro.br
> verify error:num=19:self signed certificate in certificate chain
> verify return:0
> ---
> Certificate chain
>  0 s:/C=BR/ST=Sao Paulo/L=Sao Paulo/O=Registro.br/OU=EPP/CN=beta.registro.br
>    i:/C=BR/ST=Sao Paulo/L=Sao 
> Paulo/O=Registro.br/OU=EPP/CN=registro.br/emailAddress=epp at registro.br
>  1 s:/C=BR/ST=Sao Paulo/L=Sao 
> Paulo/O=Registro.br/OU=EPP/CN=registro.br/emailAddress=epp at registro.br
>    i:/C=BR/ST=Sao Paulo/L=Sao 
> Paulo/O=Registro.br/OU=EPP/CN=registro.br/emailAddress=epp at registro.br
> ---
> [...]
> New, TLSv1/SSLv3, Cipher is AES256-SHA
> Server public key is 2048 bit
> SSL-Session:
>     Protocol  : TLSv1
> [...]
> 
> Atenciosamente,
> 
>     César Fazan 
> 
> _______________________________________________
> eppnicbr mailing list
> eppnicbr at eng.registro.br
> https://eng.registro.br/mailman/listinfo/eppnicbr