Administrace komentářů

"-state" tam uz je. Debug len vypisuje dumpy posielanych dat. Mozno sa z tych dumpov da odvodit odpoved ale podla coho v tych dumpoch to mam spoznat? "500 Internal server error" je umyselne univerzalna reakcia na kazdu chybu, aby z toho neslo nic odvodit. Ide o "bezpecnostnu" aplikaciu. Proste bud je request OK a po tom odpoveda HTTP 200 a posiela XML data, alebo inak HTTP 500.

Na https://badssl.com/ su pripravene testovacie virtual hosty na vsetky mozne pokusy okolo SSL/TLS a da sa tam hrat aj s client certificates. Tam to aj vidno, ze sa komunikacia lisi ak bol predhodeny client cert alebo nie. Ale oni to maju asi vzorovo a priatelsky nakonfigurovane. Odpovedat na otazku, ci ku TLS spojeniu bol prilozeny client certificate by snad malo byt mozne aj bez spoluprace servera. Klient to predsa musi vediet, ci nejaky certifikat posielal alebo nie.

Ukazky pre badssl.com (heslo pre private key je "badssl.com"):

# s client cert
 openssl s_client -connect client.badssl.com:443 -prexit -cert badssl.com-client.pem -servername client.badssl.com -no_ticket -state

# bez client cert
openssl s_client -connect client.badssl.com:443 -prexit -servername client.badssl.com -no_ticket -state

Pri pouziti client cert vo vypise pribude riadok

SSL_connect:SSLv3/TLS write certificate verify

(Uvedene priklady by este mali mat option "-CAfile" so zoznamom CA pre overenie servera, ale na strucnu ukazku to nie je nevyhnutne)

Lenze zaroven vidno, ze server poslal "Acceptable client certificate CA names", co je zoznam CA, pomocou ktorych podpisany client cert bude akceptovat. Co sa hodi pre pripad, ze klient ma plno certifikatov a nevie, ktory ma poslat (nijak vynimocne, ak je klientom bezny www browser).

V mojom pripade ale viem, ktory client cert chcem poslat a tusim server zoznam oblubenych CA posielat nemusi. Takze v mojom prpade neviem, ci bol client cert poslany a ani ako to zistit.