IIS 7.5 - сбой SSL после перезагрузки - исправления перепривязки сертификата до перезагрузки
Недавно мой сайт IIS 7.5 SSL начал отказывать в соединениях после перезагрузки. Как ни странно, проблему можно обойти, связав сайт с другим сертификатом и вернувшись к правильному.
В случае сбоя wireshark показывает, что клиент отправляет различные приветственные пакеты SSL (TLS 1.0, 1.1, 1.2), и сервер отвечает TCP RST. При работе клиент hello практически идентичен (те же шифры / сжатие /SNI). Такое же поведение отображается для IE и Chrome (содержимое немного отличается, но мгновенное RST является распространенным) Это указывает на то, что это, скорее всего, что-то на стороне сервера.
Мой единственный совет - случайное событие SChannel с идентификатором 36870 "Произошла неустранимая ошибка при попытке доступа к закрытому ключу учетных данных сервера SSL. Код ошибки, возвращаемый из криптографического модуля, - 0x8009030d. Состояние внутренней ошибки - 1001." Проверка моих библиотек: 0x8009030d - это "SEC_E_UNKNOWN_CREDENTIALS", а 1001, скорее всего, MSG_FILE_NOT_FOUND.
На основании этого я проверил разрешения для папки Crypto/RSA для kb278381 и нашел их, как и ожидалось. Я принудительно наследовал базовые папки, но никаких изменений в поведении не произошло.
Любые подсказки о том, где искать дальше будут оценены!
1 ответ
Я бы догадался, что это что-то, сбрасывающее разрешения для указанной вами папки, скорее всего, политика безопасности через групповую политику. (Будьте подозрительны ко всему, что сбрасывает разрешения для папок).
Кроме того, просто подумайте - расположение закрытых ключей изменилось с тех пор, как CryptoAPI стал Crypto Next Generation, поэтому вы можете также проверить папки ProgramData на предмет изменений разрешений.
Вы можете получить разрешения для закрытого ключа сертификата непосредственно через MMC сертификата, поэтому, если вы управляете разрешениями закрытого ключа, а) вы наверняка увидите правильные ключи ключа * и б) вы можете получить подсказку о том, что вызвало проблему,
* фактический пробег может быть больше в зеркале