home *** CD-ROM | disk | FTP | other *** search
/ Columbia Kermit / kermit.zip / newsgroups / misc.20021006-20030409 / 000284_curtis.steward@goodrich.com_Tue Feb 11 15:58:51 EST 2003.msg < prev    next >
Text File  |  2020-01-01  |  6KB  |  164 lines
  1. Article: 14079 of comp.protocols.kermit.misc
  2. Path: newsmaster.cc.columbia.edu!phl-feed.news.verio.net!iad-feed.news.verio.net!iad-peer.news.verio.net!news.verio.net!bloom-beacon.mit.edu!newsfeed.stanford.edu!postnews1.google.com!not-for-mail
  3. From: curtis.steward@goodrich.com (Curtis Steward)
  4. Newsgroups: comp.protocols.kermit.misc
  5. Subject: Re: SSL-Telnet waiting for WILL AUTHENTICATION subnegotiation
  6. Date: 11 Feb 2003 09:21:22 -0800
  7. Organization: http://groups.google.com/
  8. Lines: 145
  9. Message-ID: <f53f8c5c.0302110921.bbf187d@posting.google.com>
  10. References: <f53f8c5c.0302101307.43a79f75@posting.google.com> <3E482A46.2010509@nyc.rr.com>
  11. NNTP-Posting-Host: 207.180.255.121
  12. Content-Type: text/plain; charset=ISO-8859-1
  13. Content-Transfer-Encoding: 8bit
  14. X-Trace: posting.google.com 1044984082 5446 127.0.0.1 (11 Feb 2003 17:21:22 GMT)
  15. X-Complaints-To: groups-abuse@google.com
  16. NNTP-Posting-Date: 11 Feb 2003 17:21:22 GMT
  17. Xref: newsmaster.cc.columbia.edu comp.protocols.kermit.misc:14079
  18.  
  19. Jeff,
  20.  
  21. I didn't realize that "AUTH SSL" shouldn't be used.  Thanks
  22. for the tip, that's why I also had "start-tls refused", trying
  23. to force SSL...
  24.  
  25.   I've changed from SSL to TLS.
  26.   Added the "start-tls required".
  27.   I've also had to resort to "--database:off" on the server, see
  28. syslog.
  29.   However, things still hang:
  30.  
  31. Negotiations..TELNET RCVD DO START-TLS
  32. TELNET SENT SB START-TLS FOLLOWS IAC SE
  33. TELNET RCVD DO AUTHENTICATION
  34. TELNET RCVD DO NAWS
  35. TELNET RCVD WILL SUPPRESS-GO-AHEAD
  36. TELNET RCVD DO SUPPRESS-GO-AHEAD
  37. TELNET RCVD WILL ECHO
  38. TELNET RCVD DO NEW-ENVIRONMENT
  39. TELNET RCVD SB START-TLS FOLLOWS  IAC SE
  40. [TLS - handshake starting]
  41. Loading RSA certificate into SSL
  42. Enter pass phrase: <passphrase>
  43. SSL_handshake:UNKWN  before/connect initialization
  44. SSL_connect:UNKWN  before/connect initialization
  45. SSL_connect:3WCH_A SSLv3 write client hello A
  46. HANG...
  47.  
  48. syslog
  49. Feb 10 16:37:58 cms iksd[825]: file[] /var/log/95dfd2cb.339: rename to
  50. /var/log/iksd.lck failed (No such file or directory)
  51.  
  52. script
  53. #!/usr/local/bin/kermit +
  54. set debug on
  55. set debug session
  56. set auth tls debug on
  57. set auth tls rsa-cert-file w.pem                   ;personal cert pem
  58. set auth tls rsa-key-file work_priv.pem            ;personal key pem
  59. set auth tls verbose on
  60. set auth tls verify-dir /usr/local/ca              ;CA directory
  61. set auth tls verify-file /usr/local/ca/cacert.pem  ;CA cert pem w/hash
  62. set login userid <userid>
  63. set telopt start-tls required
  64.  
  65. iksd.conf
  66. set auth tls rsa-cert-file /root/HomeWIP/pki/c.pem  #points to host
  67. cert?
  68. set auth tls rsa-key-file /root/HomeWIP/pki/cms.jms.lucascargo.com.pem
  69.  #points to host key?
  70. set auth tls verify-dir /usr/local/ca
  71. set auth tls verify-file /usr/local/ca/cacert.pem
  72.  
  73. Is the host settings for the iksd.conf's rsa's suppose to be the host
  74. client?  And is the CA key the only key that needs hashed?  
  75.  
  76. Thanks
  77.  
  78. cs
  79.  
  80. "Jeffrey Altman [Road Runner NYC]" <jaltman2@nyc.rr.com> wrote in message news:<3E482A46.2010509@nyc.rr.com>...
  81. > You do not want to use the broken protocol AUTH SSL.  You want to use 
  82. > the START_TLS option.  Remove
  83. > 
  84. >    SET TeLNET AUTH TYPE SSL
  85. > 
  86. > and replace it with
  87. > 
  88. >    SET TeLOPT START-TLS REQUIRE
  89. > 
  90. > Why are you refusing START-TLS on the SERVER?
  91. > 
  92. > The AUTH SSL protocol is only meant for use with old Eric Young telnet 
  93. > servers.
  94. > 
  95. > 
  96. > 
  97. > Curtis Steward wrote:
  98. > > I'm trying to get straight SSL authentication to work as described in:
  99. > > http://www.columbia.edu/kermit/security80.html (compiled with
  100. > > "linux+openssl" no flags).  I understand that ~/.tlslogin will give me
  101. > > a complete cert to userid map with the code as is.
  102. > > 
  103. > > After pouring over the doc I'm receiving the following:
  104. > > 
  105. > > c-kermit8.0
  106. > > ...
  107. > > iksd <hostname>
  108. > > ...
  109. > > TELNET RCVD DO NEW-ENVIRONMENT
  110. > > TELNET RCVD SB AUTHENTICATION SEND SSL CLIENT_TO_SERVER|ONE_WAY   IAC
  111. > > SE
  112. > > Loading RSA certificate into SSL
  113. > > Enter pass phrase: <pass-phrase>
  114. > > Authenticating with SSL
  115. > > TELNET SENT SB AUTHENTICATION IS SSL CLIENT_TO_SERVER|ONE_WAY START
  116. > > IAC SE
  117. > > TELNET RCVD DONT TERMINAL-TYPE
  118. > > TELNET RCVD SB NEW-ENVIRONMENT SEND  IAC SE
  119. > > TELNET RCVD DONT COM-PORT-CONTROL
  120. > >  Negotiations..............................
  121. > > *************************
  122. > > The Telnet server is not sending required responses.
  123. > > 
  124. > > ?Telnet waiting for WILL AUTHENTICATION subnegotiation
  125. > > 
  126. > > You can continue to wait or you can cancel with Ctrl-C.
  127. > > In case the Telnet server never responds as required,
  128. > > you can try connecting to this host with TELNET /NOWAIT.
  129. > > Use SET HINTS OFF to suppress further hints.
  130. > > *************************
  131. > > 
  132. > > ...
  133. > > 
  134. > > /etc/iksd.conf
  135. > > set auth ssl rsa-cert-file /root/HomeWIP/pki/cmscert.pem       #
  136. > > points to host cert?
  137. > > set auth ssl rsa-key-file /root/HomeWIP/pki/cms.jms.lucascargo.com.pem
  138. > > # points to host key?
  139. > > set auth ssl verify-dir /usr/local/ca                          # pem
  140. > > is hashed
  141. > > set auth ssl verify-file /usr/local/ca/cacert.pem
  142. > > set telopt start-tls refused                                   # just
  143. > > SSL
  144. > > 
  145. > > script
  146. > > #!/usr/local/bin/kermit +
  147. > > set debug on
  148. > > set debug session
  149. > > set auth ssl debug on
  150. > > set auth ssl rsa-cert-file w.pem                   ;personal cert pem
  151. > > set auth ssl rsa-key-file work_priv.pem            ;personal key pem
  152. > > set auth ssl verbose on
  153. > > set auth ssl verify-dir /usr/local/ca              ;CA directory
  154. > > set auth ssl verify-file /usr/local/ca/cacert.pem  ;CA cert pem
  155. > > set login userid <userid>
  156. > > set telnet auth type ssl                           ;just SSL
  157. > > 
  158. > > I've tried sb-implies-will-do on/off on both client and server
  159. > > sides with no luck.
  160. > > 
  161. > > TIA,
  162. > > 
  163. > > cs
  164.