LINUX.ORG.RU
ФорумAdmin

nginx, SSL и, шоб его так, systemd

 , ,


0

3

Вчера обновил на своей файлопомойке бубунту, и конечно же прилетел systemd (против которого я в общем ничего не имею, пока он работает). Но тут вот он мне подсунул «сюрприз».

У меня ключ для ssl'а с passphrase, и раньше я при рестарте вэбсервера этот passphrase вводил (мне nginx предлагал его ввести), и в общем я был доволен такой ситуацией.

Но вот после апдейта мне больше никто не предлагает ввести ключ, а unit systemd просто не стартует и ругается.

Аналогичная проблема: https://bbs.archlinux.org/viewtopic.php?id=172030

Я конечно «решил» эту проблему удалением пасфрейза из ключа, но теперь спать спокойно не могу из-за мыслей: «вдруг сопрут сертификат, а ревокейшн денег стоит.»

Ну и в заключение: «Всё своим системд поломали!»

Может кто знает, как заставить ключ с пассфрейзом работать?...

★★★★★

Последнее исправление: invy (всего исправлений: 1)

Ответ на: комментарий от annulen

инит-скрипт дергает системд и вылетает с той же ошибкой.

invy ★★★★★
() автор топика

systemd-ask-password(1).

Вкратце: напиши для вебсервера стартовый скрипт-обёртку, в котором спрашивай пассфразу через systemd-ask-password <сообщение, видимое пользователю>. Оно выводит пароль в stdout.

intelfx ★★★★★
()
Ответ на: комментарий от annulen

Если nginx не запущен, то reload не помогает.

invy ★★★★★
() автор топика

Это, кстати, вполне тянет на багрепорт.

thesis ★★★★★
()
Ответ на: комментарий от invy

В зависимости от того, как он его спрашивает. На стандартный ввод через пайплайн, к примеру. Только лучше не пайплайн, а process substitution и exec потом:

exec foobar < <(systemd-ask-password PROMPT)

intelfx ★★★★★
()
Последнее исправление: intelfx (всего исправлений: 1)
Ответ на: комментарий от intelfx

Спасибо, потыкаю. Но вообще это называется: «Не мала баба клопоту - купила порося» :D

invy ★★★★★
() автор топика
Ответ на: комментарий от iron

но теперь спать спокойно не могу из-за мыслей: «вдруг сопрут сертификат, а ревокейшн денег стоит.»

invy ★★★★★
() автор топика

Я конечно «решил» эту проблему удалением пасфрейза из ключа

все решается намного проще. гугл на раз два тебе подскажет.

MikeDM ★★★★★
()
Ответ на: комментарий от snoopcat

Повторяю: какие права нужны для того, чтобы стащить беспарольный сертификат?

Если что — рут может сделать вообще всё, пользователь nginx — обычно получается с доступом к процессу nginx со всеми вытекающими из этого.

x3al ★★★★★
()
Ответ на: комментарий от x3al

обычно получается с доступом к процессу nginx со всеми вытекающими из этого.

А что из этого вытекает? Разве nginx не умеет в разделение привилегий?

anonymous
()
Ответ на: комментарий от anonymous

Ещё раз.

Файл с сертификатом, неважно, зашифрован он или нет, могут читать только рут и nginx.

Руту по многим причинам побоку шифрование на локальной машине.

nginx-права получить можно разве что из nginx-процесса. Если есть доступ к нему — в его же памяти есть расшифрованный сертификат.

Какое, к чёрту, разделение привилегий тут? У кого именно есть возможность прочитать файл сертификата и нет возможности что-то сделать с шифрованием?

x3al ★★★★★
()
Ответ на: комментарий от x3al

При чем тут права? Я хочу иметь зашифрованный сертификат и точка.

invy ★★★★★
() автор топика
Ответ на: комментарий от x3al

nginx-права получить можно разве что из nginx-процесса. Если есть доступ к нему — в его же памяти есть расшифрованный сертификат.

Какое, к чёрту, разделение привилегий тут?

Тупимс? Перефразирую: умеет ли nginx работать в два процесса под разными учётками, так, чтобы первый процесс имел расшифрованный ключ и занимался исключительно криптографией, а второй занимался бы всем остальным?

anonymous
()
Ответ на: комментарий от anonymous

В этом случае первый процесс nginx может и с незашифрованным ключом работать. Второй учётке право на чтение ключа не нужно же.

x3al ★★★★★
()

Это конечно фейл со стороны systemd, но в твоем случае проще стартовать nginx руками, какой профит от системы инициализации если она в любом случае не сможет поднять сервис без учасия человека?

TDrive ★★★★★
()
Ответ на: комментарий от anonymous

в данном случае ubuntu - ССЗБ) Про системд его ни кто и не спрашивал)

TDrive ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.