[РЕШЕНО] Постоянная «Проверка SSL-сертификата» в Pidgin («Сертификат xpmm.redhelper.ru не может быть подтвержден»)

[vkapas]

Использую Pidgin для приёма заявок из онлайн-консультата с одного из своих сайтов. Использую онлайн-консультант от компании Redhelper, который настроен по этой, написаной самой компанией, инструкции: https://redhelper.zendesk.com/entries/21000...BA%D0%B0-Pidgin

Всё работает отлично, но есть проблема: после каждого подключения к интернету (или выхода джабберовского аккаунта в сеть, а иногда и просто так в течение дня) Pidgin запрашивает сертификат xmpp.redhelper.ru. Вот с таким вот текстом:

Сертификат для xmpp.redhelper.ru не может быть подтверждён.
Вместо этого сертификат утверждает, что он от "ejabberd". Это может означать, что вы подключены не к той услуге, к которой думаете.
Сертификат является самоподписанным и не может быть автоматически проверен.

Причём этот сертификат уже был принят при первом подключении и находится в списке сертификатов. В этом списке есть и другие джабберовоские сертификаты, например, vk.com и jabber.ru, которые я тоже постоянно использую, но Pidgin не заправшивает их при каждом подключении к сети.

ТП Redhelper в решении не помогла и ответила отпиской:

Это проблема конкретно Pidgin и только под Линукс. Если это мешает, стоит использовать другой клиент.

В чём может быть проблема, можно ли её решить?

[Bizdelnick]

Обычный самоподписанный сертификат всё-таки соответствует домену. Они же не только по-человечески заверить его поленились, но ещё и неправильные данные при генерации ввели. Проблема однозначно на их стороне. Пробивайтесь через первый уровень ТП напрямую к админам и требуйте, чтобы сделали нормальный сертификат.

Upd. Сначала поторопился с ответом, исправил.

[sgfault]

Обычный самоподписанный сертификат всё-таки соответствует домену. Они же не только по-человечески заверить его поленились, но ещё и неправильные данные при генерации ввели.

Немного не по теме, но все же очень хочется узнать: почему я не могу получить этот сертификат? Я попробовал так:

Код: Выделить всё

$ openssl s_client -connect xmpp.redhelper.ru:443 -CApath /etc/ssl/certs/
CONNECTED(00000003)
3074013336:error:140770FC:SSL routines:SSL23_GET_SERVER_HELLO:unknown protocol:s23_clnt.c:766:
---
no peer certificate available
---
No client certificate CA names sent
---
SSL handshake has read 7 bytes and written 320 bytes
---
New, (NONE), Cipher is (NONE)
Secure Renegotiation IS NOT supported
Compression: NONE
Expansion: NONE
---

Тогда я попробовал так:

Код: Выделить всё

$ openssl s_client -connect redhelper.ru:443 -CApath /etc/ssl/certs/
CONNECTED(00000003)
depth=2 C = SE, O = AddTrust AB, OU = AddTrust External TTP Network, CN = AddTrust External CA Root
verify return:1
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN = PositiveSSL CA 2
verify return:1
depth=0 OU = Domain Control Validated, OU = PositiveSSL Wildcard, CN = *.redhelper.ru
verify return:1
---
Certificate chain
 0 s:/OU=Domain Control Validated/OU=PositiveSSL Wildcard/CN=*.redhelper.ru
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=PositiveSSL CA 2
 1 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=PositiveSSL CA 2
   i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
 2 s:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
   i:/C=SE/O=AddTrust AB/OU=AddTrust External TTP Network/CN=AddTrust External CA Root
---
Server certificate
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----
subject=/OU=Domain Control Validated/OU=PositiveSSL Wildcard/CN=*.redhelper.ru
issuer=/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=PositiveSSL CA 2
---
No client certificate CA names sent
---
SSL handshake has read 4279 bytes and written 446 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES256-GCM-SHA384
    Session-ID: EDBD7B10C6BBD6E5DA7D48BC66D20D692E682CF2E57A5E3656AA6FDD7584CC08
    Session-ID-ctx:
    Master-Key: 2051CF3B28ABCA2EBB115296CDABC2AF00B2F22B71CEDFE3842C2715E8A3CF0A89B24C8EAAD429EC
6B31EA487DD5212B
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 300 (seconds)
    TLS session ticket:
    0000 - 0f 92 49 33 13 77 cc 55-5b 8d 9c a5 46 e8 fa f9   ..I3.w.U[...F...
    0010 - db 4d f8 2e 6d 62 82 2a-93 9d 34 82 bb 55 57 9f   .M..mb.*..4..UW.
    0020 - dd da a5 53 40 fc f4 45-06 51 8c ad 2d ef 75 6e   ...S@..E.Q..-.un
    0030 - a1 66 eb a7 ae 6b 8c 92-6a 3f f1 a4 de ec de a6   .f...k..j?......
    0040 - 58 f5 a5 93 ab 95 bd 04-ae eb b6 3b 0a 0e 61 83   X..........;..a.
    0050 - 9e d9 2e 8b f8 c3 4c 4f-60 96 51 9b 9d af c5 4b   ......LO`.Q....K
    0060 - 11 24 2d 85 12 3c ae f4-c3 cf 3f 2a 53 2e 83 07   .$-..<....?*S...
    0070 - b4 4e 87 e1 b5 2f 20 b4-4f f1 69 48 fa 35 de 95   .N.../ .O.iH.5..
    0080 - aa 83 eb 4f d8 ac f0 73-f5 12 1f 49 26 4a 52 c6   ...O...s...I&JR.
    0090 - c9 d2 b6 32 bf 9c c9 03-4c 76 41 4c 1b a5 66 a6   ...2....LvAL..f.

    Start Time: 1368797494
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---

как видите, возвращемый s_client-ом сертификат правильный. Но, мне кажется, это не тот сертификат, о котором писал Пидгин на скрине. А как же тогда получить тот?

[vkapas]

Да, видимо, с одной стороны имеем некорректно сгенерированный сертификат, с другой — невозможность добавить этот сертфикат в исключения Pidgin.

Хороший человек потестировал работу Pidgin с этим сертификатом в венде — те же яйца.
Отписался разработчикам. Запасаюсь попкорном.

[Bizdelnick]

Немного не по теме, но все же очень хочется узнать: почему я не могу получить этот сертификат?

Shell

Код: Выделить всё

% openssl s_client -msg -state -host xmpp.redhelper.ru -port 5222 -starttls xmpp
CONNECTED(00000003)
SSL_connect:before/connect initialization
>>> TLS 1.2 Handshake [length 013b], ClientHello
    01 00 01 37 03 03 51 96 42 a5 1b e7 77 b7 78 c1
    7b 04 11 df f2 2b 16 b0 79 80 e9 6c 5f 0f aa 48
    b7 0a 4b c7 a5 06 00 00 9e c0 30 c0 2c c0 28 c0
    24 c0 14 c0 0a c0 22 c0 21 00 a3 00 9f 00 6b 00
    6a 00 39 00 38 00 88 00 87 c0 32 c0 2e c0 2a c0
    26 c0 0f c0 05 00 9d 00 3d 00 35 00 84 c0 12 c0
    08 c0 1c c0 1b 00 16 00 13 c0 0d c0 03 00 0a c0
    2f c0 2b c0 27 c0 23 c0 13 c0 09 c0 1f c0 1e 00
    a2 00 9e 00 67 00 40 00 33 00 32 00 9a 00 99 00
    45 00 44 c0 31 c0 2d c0 29 c0 25 c0 0e c0 04 00
    9c 00 3c 00 2f 00 96 00 41 c0 11 c0 07 c0 0c c0
    02 00 05 00 04 00 15 00 12 00 09 00 14 00 11 00
    08 00 06 00 03 00 ff 02 01 00 00 6f 00 0b 00 04
    03 00 01 02 00 0a 00 34 00 32 00 0e 00 0d 00 19
    00 0b 00 0c 00 18 00 09 00 0a 00 16 00 17 00 08
    00 06 00 07 00 14 00 15 00 04 00 05 00 12 00 13
    00 01 00 02 00 03 00 0f 00 10 00 11 00 23 00 00
    00 0d 00 22 00 20 06 01 06 02 06 03 05 01 05 02
    05 03 04 01 04 02 04 03 03 01 03 02 03 03 02 01
    02 02 02 03 01 01 00 0f 00 01 01
SSL_connect:unknown state
<<< TLS 1.2 Handshake [length 0036], ServerHello
    02 00 00 32 03 03 51 96 42 a5 bc 4b a8 55 51 a2
    ea 0e 84 a3 67 04 1e 28 3d a2 d2 d1 f9 f3 60 1f
    39 9e bf 6c cc cd 00 00 9d 01 00 0a ff 01 00 01
    00 00 0f 00 01 01
SSL_connect:SSLv3 read server hello A
<<< TLS 1.2 Handshake [length 02b4], Certificate
    0b 00 02 b0 00 02 ad 00 02 aa 30 82 02 a6 30 82
    02 0f a0 03 02 01 02 02 09 00 c4 d8 f1 da ab 40
    c2 71 30 0d 06 09 2a 86 48 86 f7 0d 01 01 05 05
    00 30 6c 31 15 30 13 06 03 55 04 0a 0c 0c 72 65
    64 68 65 6c 70 65 72 2e 72 75 31 13 30 11 06 03
    55 04 0b 0c 0a 65 6a 2d 6e 6f 64 65 32 2d 31 31
    11 30 0f 06 03 55 04 03 0c 08 65 6a 61 62 62 65
    72 64 31 2b 30 29 06 09 2a 86 48 86 f7 0d 01 09
    01 16 1c 72 6f 6f 74 40 65 6a 2d 6e 6f 64 65 32
    2d 31 2e 72 65 64 68 65 6c 70 65 72 2e 72 75 30
    1e 17 0d 31 32 31 30 32 39 31 34 31 34 31 39 5a
    17 0d 31 33 31 30 32 39 31 34 31 34 31 39 5a 30
    6c 31 15 30 13 06 03 55 04 0a 0c 0c 72 65 64 68
    65 6c 70 65 72 2e 72 75 31 13 30 11 06 03 55 04
    0b 0c 0a 65 6a 2d 6e 6f 64 65 32 2d 31 31 11 30
    0f 06 03 55 04 03 0c 08 65 6a 61 62 62 65 72 64
    31 2b 30 29 06 09 2a 86 48 86 f7 0d 01 09 01 16
    1c 72 6f 6f 74 40 65 6a 2d 6e 6f 64 65 32 2d 31
    2e 72 65 64 68 65 6c 70 65 72 2e 72 75 30 81 9f
    30 0d 06 09 2a 86 48 86 f7 0d 01 01 01 05 00 03
    81 8d 00 30 81 89 02 81 81 00 db 98 db 18 0c d4
    7f 2e c0 74 5d b8 19 48 ab 06 18 ef b7 13 2c d8
    e3 7d 5e de 24 f6 03 9c de d4 b9 ce fc d4 8b ad
    28 9c 2a cb 9e cc dd a8 11 e1 47 1e a6 d1 27 98
    2c 20 bb 1d cd 3c 19 e8 d5 92 5a 13 be 4d 16 29
    2c db dd 29 78 63 94 3f 61 95 81 94 f7 c9 d9 e9
    7f d7 97 da 6c c5 41 27 e1 96 0d d8 e9 48 d4 c1
    61 38 85 dd 4f 66 32 96 9c b6 52 db 37 b6 86 f4
    4f 69 80 33 89 57 af 9f 41 cd 02 03 01 00 01 a3
    50 30 4e 30 1d 06 03 55 1d 0e 04 16 04 14 83 8b
    2d d7 8e 0d 4b 4a 8a 2a a4 52 1f a6 5e b7 c2 af
    c9 f0 30 1f 06 03 55 1d 23 04 18 30 16 80 14 83
    8b 2d d7 8e 0d 4b 4a 8a 2a a4 52 1f a6 5e b7 c2
    af c9 f0 30 0c 06 03 55 1d 13 04 05 30 03 01 01
    ff 30 0d 06 09 2a 86 48 86 f7 0d 01 01 05 05 00
    03 81 81 00 89 e2 10 f4 1c 18 5c 91 b8 a7 05 4d
    54 5a 8f b6 5d bf f4 9b 27 3e 20 4f d9 6f f3 29
    68 c7 5b 89 2c 54 d6 58 66 40 82 83 0e f7 c7 de
    42 2a 01 08 4f 60 17 20 43 38 1b 69 e0 4e 03 4a
    b6 32 69 ba bb 7d b9 83 7e 4e 59 f8 b7 9f 77 be
    e9 aa 5b 21 59 e1 77 ae 26 6b e9 23 11 9f ba 4b
    e9 d4 22 63 39 6c 60 27 5a 4d 32 20 13 d5 81 0c
    8a 6e be bb f5 2d 8f 0d 45 9c 13 18 f5 1c bb 24
    84 ee 25 af
depth=0 O = redhelper.ru, OU = ej-node2-1, CN = ejabberd, emailAddress = root@ej-node2-1.redhelper.ru
verify error:num=18:self signed certificate
verify return:1
depth=0 O = redhelper.ru, OU = ej-node2-1, CN = ejabberd, emailAddress = root@ej-node2-1.redhelper.ru
verify return:1
SSL_connect:SSLv3 read server certificate A
<<< TLS 1.2 Handshake [length 0004], ServerHelloDone
    0e 00 00 00
SSL_connect:SSLv3 read server done A
>>> TLS 1.2 Handshake [length 0086], ClientKeyExchange
    10 00 00 82 00 80 09 12 57 5f 0e c7 37 f7 9f 11
    da 4c 9c 71 03 f0 32 64 88 16 5f 1d 10 e9 03 4a
    cc 1b 86 84 d2 ab 0d 8d b3 69 5a 72 53 4f 7b c0
    89 21 ab d1 de 48 43 6a 4f 44 66 ff 33 98 b3 9f
    07 b5 79 69 7f e4 bb 42 22 1a 5c dd 75 ab 91 8e
    12 81 52 75 62 e0 36 13 bd 35 98 67 1f 71 2e 74
    c2 6b 7d 67 a1 ed a3 14 42 f9 96 d2 e9 f3 f4 a2
    8b cf b9 1e 24 db 40 87 60 62 ef 3f 1c 73 b4 d7
    ad 2a b7 3d 02 c7
SSL_connect:SSLv3 write client key exchange A
>>> TLS 1.2 ChangeCipherSpec [length 0001]
    01
SSL_connect:SSLv3 write change cipher spec A
>>> TLS 1.2 Handshake [length 0010], Finished
    14 00 00 0c 26 85 be 5b 23 63 57 b0 c9 ea 85 c0
SSL_connect:SSLv3 write finished A
SSL_connect:SSLv3 flush data
<<< TLS 1.2 ChangeCipherSpec [length 0001]
    01
<<< TLS 1.2 Handshake [length 0010], Finished
    14 00 00 0c 1f 85 63 29 68 20 ba 04 c1 72 c4 0e
SSL_connect:SSLv3 read finished A
---
Certificate chain
 0 s:/O=redhelper.ru/OU=ej-node2-1/CN=ejabberd/emailAddress=root@ej-node2-1.redhelper.ru
   i:/O=redhelper.ru/OU=ej-node2-1/CN=ejabberd/emailAddress=root@ej-node2-1.redhelper.ru
---
Server certificate
-----BEGIN CERTIFICATE-----
MIICpjCCAg+gAwIBAgIJAMTY8dqrQMJxMA0GCSqGSIb3DQEBBQUAMGwxFTATBgNV
BAoMDHJlZGhlbHBlci5ydTETMBEGA1UECwwKZWotbm9kZTItMTERMA8GA1UEAwwI
ZWphYmJlcmQxKzApBgkqhkiG9w0BCQEWHHJvb3RAZWotbm9kZTItMS5yZWRoZWxw
ZXIucnUwHhcNMTIxMDI5MTQxNDE5WhcNMTMxMDI5MTQxNDE5WjBsMRUwEwYDVQQK
DAxyZWRoZWxwZXIucnUxEzARBgNVBAsMCmVqLW5vZGUyLTExETAPBgNVBAMMCGVq
YWJiZXJkMSswKQYJKoZIhvcNAQkBFhxyb290QGVqLW5vZGUyLTEucmVkaGVscGVy
LnJ1MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDbmNsYDNR/LsB0XbgZSKsG
GO+3EyzY431e3iT2A5ze1LnO/NSLrSicKsuezN2oEeFHHqbRJ5gsILsdzTwZ6NWS
WhO+TRYpLNvdKXhjlD9hlYGU98nZ6X/Xl9psxUEn4ZYN2OlI1MFhOIXdT2Yylpy2
Uts3tob0T2mAM4lXr59BzQIDAQABo1AwTjAdBgNVHQ4EFgQUg4st144NS0qKKqRS
H6Zet8KvyfAwHwYDVR0jBBgwFoAUg4st144NS0qKKqRSH6Zet8KvyfAwDAYDVR0T
BAUwAwEB/zANBgkqhkiG9w0BAQUFAAOBgQCJ4hD0HBhckbinBU1UWo+2Xb/0myc+
IE/Zb/MpaMdbiSxU1lhmQIKDDvfH3kIqAQhPYBcgQzgbaeBOA0q2Mmm6u325g35O
Wfi3n3e+6apbIVnhd64ma+kjEZ+6S+nUImM5bGAnWk0yIBPVgQyKbr679S2PDUWc
Exj1HLskhO4lrw==
-----END CERTIFICATE-----
subject=/O=redhelper.ru/OU=ej-node2-1/CN=ejabberd/emailAddress=root@ej-node2-1.redhelper.ru
issuer=/O=redhelper.ru/OU=ej-node2-1/CN=ejabberd/emailAddress=root@ej-node2-1.redhelper.ru
---
No client certificate CA names sent
---
SSL handshake has read 1611 bytes and written 692 bytes
---
New, TLSv1/SSLv3, Cipher is AES256-GCM-SHA384
Server public key is 1024 bit
Secure Renegotiation IS supported
Compression: zlib compression
Expansion: zlib compression
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : AES256-GCM-SHA384
    Session-ID:
    Session-ID-ctx:
    Master-Key: 8FE7F7F2C4925E33211C7281567B4B4681E024A26A22A57468228533EB30028FB1DB475749C56FA8
AA9A737A7C455EA3
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Compression: 1 (zlib compression)
    Start Time: 1368801957
    Timeout   : 300 (sec)
    Verify return code: 18 (self signed certificate)
---
DONE
>>> TLS 1.2 Alert [length 0002], warning close_notify
    01 00
SSL3 alert write:warning:close notify

Команда отсюда.

[vkapas]

Сегодня ВНЕЗАПНО, после полугода переписки, админы RedHelper наконец-то исправили сертификат. Ура!

Проблема решена.