Форум компании Ритм - НПО «Ритм»

GeoRitm SE с сертификатами Let's Encrypt

Поиск  Пользователи  Правила  Войти  
Страницы: 1
RSS
GeoRitm SE с сертификатами Let's Encrypt, Перестало работать на устройствах с IOS
Всем доброго времени суток.
Топик как боль души, и заодно для освещения проблемы, которая возникла 29.09.2021г.
У меня установлена последняя доступная версия ядра Geo Ritm SE (2.40) на свой собственный сервер. Налажена работа по протоколу https. Всё шло отлично пока 29 сентября около 11 утра я не заметил, что приложение GeoRitm, установленное на IOs 15 перестало подключаться к серверу. Подумав, что на стороне провайдера могут быть проблемы, решил подождать пару часов (лень человеческая, да и баловство с Гео - всего лишь хобби на узкий круг своих). Подождав и поняв, что оно не заработало, начал ковыряться с проблемой.
В итоге выяснилось, что на всех устройствах, работающих не под управлением яблочных технологий все работало замечательно. Сразу пришла в голову идея, что проблема в сертификатах, так как огрызок упорно говорил, что протоколы шифрования не могут быть применены. Погуглив в яндексе, обнаружил что у Let's Encrypt'а, которым я пользовался, заканчивался срок действия его корневого сертификата, который они успешно обновили еще в прошлом году. Но в Купертино почему-то упорно не любят бесплатные сервисы и забыли положить, даже в последний релиз, обновление корня. В общем-то, после замены другим бесплатным провайдером и отключения OCSP во всех браузерах, все встало на свои места.
Вопрос к ТП: каким образом было бы возможным получить обнову для паяры не регистрируя свой собственный проект у них? Так как они в августе сего года допилили нормальное общение по протоколу OCSP у себя. Не хочется экспериментировать с бесплатным комьюнити эдишн.
Цитата
Артем Гусев пишет:
обнаружил что у Let's Encrypt'а, которым я пользовался, заканчивался срок действия его корневого сертификата

Вы определили верно. См. https://eadaily.com/ru/news/2021/09/30...-interneta
Цитата
Артем Гусев пишет:
каким образом было бы возможным получить обнову для паяры

На данный момент протестирована и гарантируется работа GEO.RITM и RITM.LINK на версии Payara Server 4.1.2.172 #badassfish (build 235).
Если у вас есть новый сертификат, вы можете добавить его в хранилище сертификатов JAVA на вашей текущей Payara. См. http://ritm.ru/forum/?PAGE_NAME=messa...essage7585
Максим, а как же кричащие скриншоты из 5-ой версии у вас? (вопрос риторический, гарантия работоспособности - это действительно важно).
Как итог, я вышел на прямой контакт с офисом PayaraTech в Португалии. Специалист по привелечению и сопровождению в телефонном звонке объяснила, что Community Edition, распространением которой она занимается, обеспечивает 100% совместимость, и в случае запуска уже работавших приложений, я не должен увидеть ухудшения работоспособности. На мой вопрос, каким образом включить OCSP в 4-ой версии, был получен ответ, что нужно перейти на последний релиз 5-ой версии. В общем буду пробовать пересадку на 5-ый релиз паяры.
Надеюсь на Вашу поддержку, Максим.
Цитата
Артем Гусев пишет:
Community Edition, распространением которой она занимается, обеспечивает 100% совместимость

Именно Community Edition и распространяется нами.
Цитата
Артем Гусев пишет:
В общем буду пробовать пересадку на 5-ый релиз паяры.

Добро.
Есть ещё один вариант - попробуйте добавить сертификат https://letsencrypt.org/certs/isrgrootx1.der в ваш IOS 15.
Т.е. откройте эту ссылку в вашем браузере на IOS 15 и добавьте сертификат в сертификаты центра сертификации.
Пример для старого браузера FirefoxPortable 47 со встроенной flash это выглядит так:
Рисунок
Рисунок
Добрый день, Максим. Спасибо за предложение решения проблемы. Я то у себя и мог бы (возможно, но не уверен, что пользователю разрешено добавление) добавить что-то в хранилище, но всем клиентам, использующим продукты из Купертино, не смогу объяснить необходимость столь непростых манипуляций. Проще пока, что перейти на другого провайдера бесплатных сертификатов.
PS: В силу отсутствия свободного времени еще пока нет результатов по переходу на паяру 5. Дистриб, мануал и саппорт уже имеются smile:)
Пожалуйста.
Попробовал на payara 5.2021.8 - не разворачивается программа. Ошибка, значит не совместим GEO.RITM на данный момент с payara 5.2021.8.

Можете сами попробовать.
Распакуйте архив https://disk.yandex.ru/d/iP0SWGVg_GPZmw в /tmp
Выполните
chmod 755 /tmp/install-pack-5.2021.8/update
cd /tmp/install-pack-5.2021.8
./update


Но для работы с SSL есть ещё один выход - можете использовать nginx с подключенным сертификатом и проксировать запросы https от nginx на http payara.
Другой вариант - можете вместо payara использовать другой веб-сервер с сертификатом. Пример см. http://ritm.ru/forum/?PAGE_NAME=messa...essage7036
Максим, у меня проблем с Geo как раз и нет. Проблемы с айфонами и с сертификатами Let's Encrypt. Хотя может кому то проще развернуть отдельный вэб сервачок для проксирования, но работа с хранилищем паяры очень проста и надежна, как швейцарские часы. Ни разу за два года не было проблем с некорректной установкой, либо еще с чем-то, что связано с внутренними сервисами паяры.
Насчет 5-ой версии, вчера почитал мануал по миграции с 4 на 5 версию, они упорно объясняют что будут проблемы если при разработке апплетов использовалась JDK EE 7. Настоятельно рекомендуют обновить до JDK EE 8 и перекомпилить исходники в ней, чтобы обновились какие-то связи и компоненты. В противном случае работа апплетов не гарантирована. Могли бы вы уточнить у коллег про версию IDE, в которой происходит разработка? Насколько мне известно с форумов, переход с 7-ой на 8-ую бесплатный. Все таки безопасность, которую обеспечивают ваши продукты (имею ввиду оборудование РИТМ), должна быть безопасной и с точки зрения программных платформ, которые вы поддерживаете, в связи с чем, хотелось бы идти в ногу со временем smile:)
Насчет безопасности, также хотелось бы, чтобы программисты поработали над ней тоже. Например, хранение паролей пользователей в базе в открытом виде. Почему бы не применить простенький SHA256 с присолкой, чтобы уберечься от слива в случае компроментации чьего-то сервиса, которая возможна из-за необновляемых компонентов вэб сервера?
Версию JAVA можете узнать, выполнив
java -version
Обычно используется эта https://disk.yandex.ru/d/MtQ5TYhm3RNB5s
Планов по шифрованию БД нет.
Страницы: 1