#0 -1 » [Résolu] Problème d'import de pkcs#12 dans firefox » Le 09/06/2013, à 23:28
- phlinux
- Réponses : 4
Il m'est impossible d'importer une clef PKCS#12 dans firefox
Je dispose d'un serveur (ubuntu 12.04) sur lequel j'ai crée ma propre autorité CA
J'ai crée sur mon portable (FF 20.0 - ubuntu 11.10 ... oui, la mise à jour est prévue
)
une demande de certificat, l'ai signée par mon CA et transformée en pkcs#12 puis retournée au portable.
Sur ce portable avec un dual boot,
- Côté WinXP, l'import dans firefox se passe correctement et après avoir validé l'exception de mon certificat je peux me connecter en https à mon serveur.
- Côté Linux, lors de l'import dans 'Vos certificats' dans firefox et après avoir saisi les mot de passe de sécurité personnelle et celui protégeant la clef privée et le certificat, j'obtiens le message :
L'operation PKCS #12 a échoué pour des raisons inconnues
Ce problème semble être un vieux serpent de mer si j'en juge par le nombre de questions relatives à ce problème sur le net.
J'ai tenté d'explorer les pistes les plus proches de mon problème mais en vain. (non, je n'ai pas installé de TorButton
)
J'ai alors tenté les commandes nss3 pour essayer d'avoir des messages un peu plus clairs:
certutil -L -d sql:/home/phl/.mozilla/firefox/z535w55y.default/ne renvoie que ceci
Certificate Nickname Trust Attributes
SSL,S/MIME,JAR/XPIalors que devraient être listées ici toutes les clés apparaissant dans firefox
pk12util -d /home/phl/.mozilla/firefox/z535w55y.default -i phl.cert.p12
Enter Password or Pin for "NSS Certificate DB": ***********************
Enter password for PKCS12 file: **************************retourne :
pk12util: PKCS12 decode import bags failed: Error adding certificate to database.
certutil -A -t "u,u,u" -d sql:/home/phl/.mozilla/firefox/z535w55y.default/ -n "phl" -i phl.cert.p12retourne :
certutil: could not decode certificate: security library: invalid arguments.
Voilà, maintenant je ne suis pas plus avancé !
Si quelqu'un avait une p'tite idée pour me mettre sur la voie ....
Merci par avance,
PhL
PS: Pour comparer, j'ai crée coté serveur (Ubuntu 12.04) un client et généré un certificat pour lui.
L'import dans Firefox (FF 21.0), toujours côté serveur, s'est passé sans problème pour ce nouveau client.
#1 Re : -1 » [Résolu] Problème d'import de pkcs#12 dans firefox » Le 10/06/2013, à 14:38
- phlinux
- Réponses : 4
Bonjour Titouan et merci pour la réponse.
Je dois dire que je ne suis pas très à l'aise avec ces techniques de certificat.
Par ailleurs, j'ai acheté la semaine dernière le GLMF HS 66 (merci Tiramiseb) pour essayer d'y voir un peu plus clair et c'est en le suivant que j'essaie de monter ma solution: Seuls les utilisateurs (membres de ma famille) possèdant un certificat que mon CA signe peuvent se connecter à mon site (accessible seulement via un port NATé).
En fait, j'ai crée un x509 pour la création de mon propre CA (côté serveur) et m'en suis servi pour signer le certificat généré côté client.
Je ne pense donc pas en avoir crée un côté client.
Au passage merci pour les longueurs de mdp : j'ai bien noté. Est ce que cela concerne aussi les "pass phrase" ?
Il y a sans doute quelque chose que je n'ai pas compris ou mes explications ne sont pas claires.
Par ailleurs, pourquoi alors la même manip n'a t-elle pas posé de problème avec mon client MS XP ?
Pour essayer d'être plus précis, voici ma procédure :
Côté serveur, création du CA
openssl genrsa -des3 -out cakey.pem 4096
openssl req -config openssl.cnf -new -x509 -nodes -sha1 -days 1825 -key cakey.pem -out cacert.pemCôté client création de la demande de certificat
openssl genrsa -des3 -out phl.key.pem 4096
openssl req -config openssl.cnf -new -key phl.key.pem -out phl.csr.pemCôté serveur signature du certificat du client et convertion en pkcs#12
openssl ca -config openssl.cnf -policy policy_anything -out phl.cert.pem -infiles phl.csr.pem
openssl pkcs12 -export -inkey phl.key.pem -in phl.cert.pem -out phl.cert.p12 -name "phl"Côté client chargement du p12 dans firefox.
Au niveau apache2 j'ai:
<VirtualHost *:443>
...
SSLEngine on
SSLCertificateFile /srv/ssl/phl/phl.cert.pem
SSLCertificateKeyFile /srv/ssl/phl/phl.nokey.pem
SSLProtocol all -SSLv2
SSLCACertificateFile /srv/ssl/cacert.pem
<Directory /www/photos>
SSLVerifyClient require
SSLVerifyDepth 1
AllowOverride None
Order allow,deny
Allow from all
</Directory>
...Je remarque quelques directives manquantes chez moi par rapport à ton exemple mais sauf avis contraire je ne suis pas certain qu'elles soient indispensables, en tous cas pour l'instant où je suis en simple phase de tests.
#2 Re : -1 » [Résolu] Problème d'import de pkcs#12 dans firefox » Le 11/06/2013, à 19:28
- phlinux
- Réponses : 4
Ok, j'ai trouvé:
j'ai finalement pu voir qu'en retirant l'une des bases locales des certificats (mv ~/.mozilla/firefox/cert8.db ~/.mozilla/firefox/cert8.db.old) celle-ci est reconstruite systématiquement par Firefox, et là, l'import de la pkcs #12 fonctionne correctement.
Une connexion utilisant cette clef sur mon serveur confirme que tout va bien.
J'ai donc simplement laissé firefox recréer la base cert8.db.
Par contre, quid des autres bases cert9.db, key3.db et key4.db ? Sont-ils liés ou chaque fichier est il indépendant ?
Autrement dit, attention s'il doit y avoir une cohérence entre ces fichiers, il faudrait les détruire tous les 4 pour qu'ils soient tous recréés mais à ce moment là je ne sais pas ce qui est perdu.
Pour l'instant ce n'est pas pour moi un problème sur ce portable qui ne me sert qu'aux devs.
Méfiance donc, et avant de faire quoique ce soit, je vous engage à faire (comme d'habitude
) une sauvegarde du répertoire à "bricoler" : ~/.mozilla/firefox/xxxxxxxx.default (xxxxxxx est donné par le fichier ~/.mozilla/firefox/profiles.ini)
#3 Re : -1 » [Résolu] Problème d'import de pkcs#12 dans firefox » Le 11/06/2013, à 19:48
- phlinux
- Réponses : 4
Pour compléter : la commande
certutil -L -d sql:/home/phl/.mozilla/firefox/z535w55y.default/renvoie bien cette fois :
Certificate Nickname Trust Attributes
SSL,S/MIME,JAR/XPI
phl u,u,u#4 Re : -1 » Catalyst 1X.X : Vos tests » Le 17/09/2010, à 21:50
- phlinux
- Réponses : 249
Pour moi l'installation de catalyst 10.9 a résolu les problèmes d'affichage 2D (dans Thunderbird en particulier où des zones n'étaient pas "repeintes".
Je confirme, fgl_glxgears fonctionne maintenant.
$ fgl_glxgears
Using GLX_SGIX_pbuffer
4475 frames in 5.0 seconds = 895.000 FPS
5651 frames in 5.0 seconds = 1130.200 FPS
5667 frames in 5.0 seconds = 1133.400 FPS
5625 frames in 5.0 seconds = 1125.000 FPS
5586 frames in 5.0 seconds = 1117.200 FPS
5670 frames in 5.0 seconds = 1134.000 FPS
5651 frames in 5.0 seconds = 1130.200 FPS
5630 frames in 5.0 seconds = 1126.000 FPS
5632 frames in 5.0 seconds = 1126.400 FPS#5 Re : -1 » Catalyst 1X.X : Vos tests » Le 19/09/2010, à 16:42
- phlinux
- Réponses : 249
Alors que mes problèmes d'affichage 2D avec la version catalyst 10.8 étaient réglés par la version 10.9, j'avais remarqué que le panneau d'info du centre de control de catalyst affichait toujours la version 10.8.
Pensant à un problème d'installation, j'ai désinstallé catlysts 10.9 pour le réinstaller après avoir vérifié que tout avait bien été nettoyé.
Le problème c'est que entre temps est arrivé le dernier kernel pour lequel certains headers ont été modifiés et maintenant le make du driver se plante (y compris le pkg apt fglrx) sur un
/var/lib/dkms/fglrx/8.723.1/build/2.6.x/kcl_ioctl.c:196: error: implicit declaration of function ‘compat_alloc_user_space’Le problème est connu (voir http://www.gossamer-threads.com/lists/l … w_threaded)
Il semble que cette fonction ne doive plus être utilisée et effectivement, dans le ficher linux-headers-2.6.32-24/arch/x86/include/asm/compat.h elle s'appelle maintenant arch_compat_alloc_user_space alors que dans linux-headers-2.6.32-23 elle s'appelle bien compat_alloc_user_space.
Alors méfiez vous de l'asscociation de ce nouveau paquet et du dernier kernel (2.6.32-24) ... si tout fonctionne pour vous, n'y touchez plus pour l'instant !!!
Je vais tenter un downgrade du kernel et voir si je peux l'installer à nouveau.
#6 Re : -1 » Catalyst 1X.X : Vos tests » Le 19/09/2010, à 20:53
- phlinux
- Réponses : 249
Bonne idée !!! c'est un bug qui a été repéré également par d'autres.
Le makefile ne retrouve pas une fonction (compat_alloc_user_space) ... qui a été remplacée dans le nouveau kernel (arch_compat_alloc_user_space)
(Même problème avec le package fglrx 2:8.723.1-0Ubuntu4)
Voir : https://bugs.launchpad.net/ubuntu/+sour … bug/642518
Vous y trouverez un patch et la méthode pour reconstruire le package fglrx. Il a très bien fonctionné pour plusieurs personnes, mais moi je viens de le faire et mon serveur X ne monte plus au démarrage ![]()
Dans tous les cas, je pense qu'un nouveau paquet fglrx ne devrait pas tarder à sortir.
#7 Re : -1 » Catalyst 1X.X : Vos tests » Le 23/09/2010, à 22:53
- phlinux
- Réponses : 249
En ce qui me concerne, je suis toujours collé avec mon serveur X qui ne démarre plus au boot normal. Je suis obligé de démarrer en mode de récupération et avec une définition graphique bas niveau.
J'ai essayé le downgrade du kernel et remis l'ancien catlyst, même problème.
J'ai installé le nouveau package fglrx avec le kernel 2.6.32-24 toujours même problème.
Quelque chose a dû être retiré lors d'une désinstall/réinstall mais je ne vois pas quoi.
Si quelqu'un a une idée pour tracer, je suis preneur car en attendant je suis coinçé ![]()
Les logs Xorg ?? rien de significatif, pas d'EE
#8 Re : -1 » Catalyst 1X.X : Vos tests » Le 25/09/2010, à 13:32
- phlinux
- Réponses : 249
@WATTT
Non, pas de message d'erreur ... écran noir !
Je viens de rebooter en mode console, mais même là, startx hang et tout est figé. Je suis obligé d'arrêter électriquement
j'aime pas !! heureusement que je suis en ext3, ça limite la casse.
#9 Re : -1 » Catalyst 1X.X : Vos tests » Le 25/09/2010, à 14:09
- phlinux
- Réponses : 249
@WATTT again désolé ... J'ai mal lu
Non aucun message d'erreur lors de l'install du pilote ou de la compilation du module. Ce dernier se charge bien et dans la log X11 je n'ai même pas d'erreurs.
J'ai fini par désinstaller le package ATI, que j'avais utilisé par ignorance de la présence de fglrx, et j'ai installé le package fglrx.
#10 Re : -1 » Catalyst 1X.X : Vos tests » Le 25/09/2010, à 19:16
- phlinux
- Réponses : 249
Je ne pense pas que ce soit lié au nouveau pilote mais au processus d'install ou de désinstall.
J'ai ouvert un nouveau post http://forum.ubuntu-fr.org/viewtopic.php?id=419478
#11 Re : -1 » Catalyst 1X.X : Vos tests » Le 30/09/2010, à 07:17
- phlinux
- Réponses : 249
Le patch ATI est pour le noyau 2.6.32.24 et au delà
Vu la version des librairies utilisées, il semble que le noyau en cours est un 2.6.32-5 qui ne nécessite à priori pas ce patch.
IMHO, il y a donc une mise à jour de la distrib à faire.
#12 Re : -1 » Catalyst 1X.X : Vos tests » Le 03/10/2010, à 11:33
- phlinux
- Réponses : 249
Mon problème de redémarrage du serveur X après install du driver est réglé.
Pour ceux à qui cela pourrait servir :
Pour debugger, j'ai utilisé un strace sur le lancement de xinit dans /usr/bin/startx et redirigé la trace dans /tmp
strace xinit "$client" $clientargs -- "$server" $display $serverargs | tee /tmp/xinit.tracePour pouvoir la consulter et debugger (je rappelle que écran et clavier sont gelés au startx) j'utilise une seconde machine connectée via ssh.
Boot en mode console, startx manuel
Pb trouvés : des fichiers .XAUTHxxxx sont root:root dans mon répertoire utilisateur <= sans doute une fausse manip lors de tests de démarrage de X11
J'ai détruit ces fichiers
J'avais aussi reinstallé le package xinit, désinstallé et purgé le package fglrx puis installé le package 10.9 patché de chez ATI
Je ne sais pas quelle solution a été la bonne. Quand j'aurai un peu de temps, je réinstallerai le package fglrx car je ne pense pas que cela vienne de lui.
Les fichiers .XAUTHxxxx me semblent une meilleure piste.
Tous les problème d'affichage 2D et de crash quand on passe d'une fenetre 3D à une 2D semblent bien être réglés pour moi ![]()
#13 -1 » [Resolu] relance de Thunderbird pour pouvoir effacer/déplacer un mail » Le 09/11/2010, à 15:19
- phlinux
- Réponses : 11
Depuis quelque temps, et de temps à autre, je ne peux pas effacer ou déplacer dans un sous dossier un mail reçu.
Je suis alors obligé d'arrêter Thunderbird et de le redémarrer, cela fonctionne alors à nouveau pour quelque temps (1heure ... 1/2 journée).
J'ai remarqué également, que quand ce problème d'effacement de fichier survient, les messages reçus et qui auraient dû être filtrés et déplacés par mes règles de filtrage, restent dans le dossier de réception. On ne peux plus les déplacer "à la main" ou exécuter le filtre manuellement sur le dossier sans arrêter/redémarrer Thunderbird.
J'ai fait du "ménage" dans mes différentes boîtes et les ai compactées (d'ailleurs j'ai conservé un compactage auto à partir de 50K d'économie. Même problème.
Quelqu'un a t-il déjà rencontré ce problème et aurait une idée ou une piste ??
Je précise qu'il n'y a aucun message d'erreur, quand on clique ou qu'on tente un glisser/copier/coller, cela ne fait simplement rien.
PS: http://www.mozillamessaging.com où se trouve le support n'est plus joignable
#14 Re : -1 » [Resolu] relance de Thunderbird pour pouvoir effacer/déplacer un mail » Le 09/11/2010, à 21:05
- phlinux
- Réponses : 11
Merci pour cette réponse. C'est en effet une solution que j'ai envisagée et qui fonctionne en effet très bien mais dans le profil, je ne veux pas perdre un certain nombre d'infos comme la base d'apprentissage du spam, mes filtres, mes raccourcis etc ...
C'est pour cela que j'aimerai bien comprendre ce qui se passe
Re merci ![]()
#15 Re : -1 » [Resolu] relance de Thunderbird pour pouvoir effacer/déplacer un mail » Le 10/11/2010, à 02:19
- phlinux
- Réponses : 11
OOPS Mille pardons ... je n'avais pas vu la précision dossier mail.
Je vais essayer cela à tout hasard mais je n'y crois pas trop car je n'utilise que linux aussi et je ne crois pas avoir vu sous *nix de problèmes dûs à la fragmentation (la fragmentation existe mais elle n'a pas l'impact qu'elle a dans Winblow).
J'ai plutôt l'impression d'un pb de bdd (sqlite ??)
En tous cas je viens de le faire et je donnerai le résultat des courses ici.
#16 Re : -1 » [Resolu] relance de Thunderbird pour pouvoir effacer/déplacer un mail » Le 10/11/2010, à 12:20
- phlinux
- Réponses : 11
Désolé, le problème demeure après avoir copié le répertoire Mail. Ce matin j'ai dû redémarrer Thunderbird pour pouvoir supprimer certains e-mail
cp -rp Mail Mail.new && mv Mail Mail.old && mv Mail.new Mail
#17 Re : -1 » [Resolu] relance de Thunderbird pour pouvoir effacer/déplacer un mail » Le 10/11/2010, à 23:36
- phlinux
- Réponses : 11
Bonne idée ..... j'ai supprimé tous les .msf, ils ont bien été recrées lors de l'indexation mais hélas, cela n'a rien réglé.
En tous cas merci pour ces pistes.
#18 Re : -1 » [Resolu] relance de Thunderbird pour pouvoir effacer/déplacer un mail » Le 14/11/2010, à 00:45
- phlinux
- Réponses : 11
Finalement j'ai résolu mon problème
mais je ne sais toujours pas à quoi il est dû
. Cela pourrait donc revenir !
Si cela peut servir : j'ai tenté de tracer/débugger avec gdb mais j'ai dû faire une fausse manip et j'ai détruit mes profils (je pense que j'ai du les écraser puisque tdb repartait "from scratch".)
Pour ne rien perdre j'ai donc dû recréer à l'identique tous les profils existants.
Les boites mail étant recrées, les chemins des répertoires de ces boîtes mail ont été également recrées avec l'extension -1.
Donc, dans les paramètres des comptes : modification de ceux-ci pour pointer à nouveau sur les répertoires d'origine (Mail, ImapMail LocalFolder)
Arrêt/redémarrage de TDB qui a tout retrouvé, tout réindexé ...
et je n'ai plus mon problème (en tous cas, cela fait 24h qu'il n'a pas réapparu)
#19 -1 » Server X ne démarre plus » Le 25/09/2010, à 16:25
- phlinux
- Réponses : 1
J'aurais besoin d'un conseil technique pour mon serveur X11.
Ma carte graphique est une ATI Radeon HD5670 et j'ai installé le dernier driver fglrx.
Il ne démarre plus suite à différentes installations/réinstallations dues au problème du driver catalyst 10.9/fglrx et du noyau 2.6.32-24.
Avant cet upgrade de kernel tout fonctionnait bien avec Catalyst 10.9
Je suis bien sûr revenu en arrière sur toutes mes installations, réinstallé tout ce qui touche à xorg mais rien n'y fait.
Le serveur X se gèle dès son démarrage, écran noir et plus aucune action clavier n'est possible.
Il n'y a plus que l'arrêt électrique pour s'en sortir.
Je suis maintenant obligé de démarrer en mode récupération puis de choisir la basse résolution pour pouvoir me servir de mon PC.
Quelque chose a sans doute été cassé ou retiré par le uninstaller Catalyst ou par Synaptic
J'ai essayé de me placer en mode console et de démarrer le serveur avec un sh -x startx, mais là aussi, écran noir, plus aucune touche ne fonctionne, arrêt électrique.
Bref : Je sèche grave !!!!
Quelqu'un aurait-il une méthode ou une piste pour tracer ce démarrage du serveur, ou pour vérifier que tout est bien là ?
(NB: je n'ai aucun paquet cassé et lors d'une install Synaptic, je n'ai aucun message d'erreur ou de dépendance manquante)
Merci d'avance
#20 Re : -1 » Server X ne démarre plus » Le 25/09/2010, à 19:12
- phlinux
- Réponses : 1
Plus de détails sur https://bugs.launchpad.net/ubuntu/+sour … bug/645566
#21 Re : -1 » probleme d affichage avec carte ati.. » Le 05/09/2010, à 14:57
- phlinux
- Réponses : 10
hmmm ... pour la pixelisation, ça c'est encore autre chose. Moi je n'ai pas ce problème.
Je pense qu'il faudrait essayer d'installer le dernier pilote catalyst 10.8 de chez AMD ...
....
En effet ces nouveaux drivers sont compatibles avec les cartes graphiques ATI/AMD depuis les Radeon HD 2000 jusqu'aux séries HD 5000 mais aussi avec les IGP intégrés aux cartes mères HD 3000 et 4000.
...
(voir http://support.amd.com/fr/gpudownload/l … linux.aspx
(dans les packages ubuntu il s'appelle fglrx, mais je ne sais pas s'il s'agit du dernier pilote de catalyst 10.8 sorti en juillet dernier)
ou celui, libre, proposé par la distrib ubuntu (radeon) voir http://doc.ubuntu-fr.org/radeon
#22 Re : -1 » probleme d affichage avec carte ati.. » Le 05/09/2010, à 16:18
- phlinux
- Réponses : 10
Attention, il faut surtout désinstaller d'abord la version courante avant d'installer le nouveau et faire une copie du xorg.conf correct.
#23 Re : -1 » probleme d affichage avec carte ati.. » Le 17/09/2010, à 21:54
- phlinux
- Réponses : 10
Pour votre information, l'installation du nouveau pilote catalyst 10.9 a résolu mes problèmes d'affichage 2D ![]()
#24 Re : -1 » probleme d affichage avec carte ati.. » Le 19/09/2010, à 00:31
- phlinux
- Réponses : 10
Vérifie bien quand meme qu'il ne reste pas un pkg d'un autre pilote installé (voire celui d'une autre carte). Il n'y a pas de raison que cela ne fonctionne pas chez toi.
Vérifie aussi ta config X11 et si elle est bien adaptée à ton terminal.
Maintenant la config X11 est devenue beaucoup plus simple. Après une sauvagrde de ton xorg.conf modifies le tien en t'inspirant du mien (en particulier : modules, flags et options)
Section "ServerLayout"
Identifier "Default Layout"
Screen 0 "aticonfig-Screen[0]-0" 0 0
Option "AIGLX"
EndSectionSection "Module"
Load "glx"
Load "v4l"
Load "dbe"
Load "extmod"
Load "type1"
Load "freetype"
Load "dri"
EndSectionSection "ServerFlags"
Option "Xinerama" "off"
EndSectionSection "Monitor"
Identifier "aticonfig-Monitor[0]-0"
Option "VendorName" "ATI Proprietary Driver"
Option "ModelName" "Generic Autodetecting Monitor"
Option "DPMS" "true"
EndSectionSection "Device"
Identifier "aticonfig-Device[0]-0"
Driver "fglrx"
Option "UseFastTLS" "2"
Option "Textured2D" "on"
Option "TexturedXrender" "off"
Option "BackingStore" "on"
Option "VideoOverlay" "off"
Option "OpenGLOverlay" "off"
BusID "PCI:3:0:0"
EndSectionSection "Screen"
Identifier "aticonfig-Screen[0]-0"
Device "aticonfig-Device[0]-0"
Monitor "aticonfig-Monitor[0]-0"
DefaultDepth 24
SubSection "Display"
Viewport 0 0
Depth 24
EndSubSection
EndSectionSection "Extensions"
Option "Composite" "on"
Option "RENDER" "on" # essential for proper window border rendering
Option "DAMAGE" "on" # compiz-fusion calls for explicitly
EndSection
