como posso usar o openssl para baixar meu certificado ldap pela porta 389 em vez de 636 (TLS)?

Question

Eu usei o seguinte comando para fazer o download dos certificados SSL do meu servidor do LDAP para adicioná-los aos armazenamentos de chaves do tomcat / java:

openssl s_client -connect 10.140.136.192:636

Como o LDAP SSL (porta 636) foi preterido, não tenho mais a porta 636 disponível. Eu tentei encontrar vários encantamentos para openssl s_client , como -starttls e -tls1_2 , mas nenhum deles produz o certificado. Qual é a palavra mágica para fazer isso?

    

Answer 1

O OpenSSL suporta starttls para vários protocolos com s_client:

-starttls protocol
send the protocol-specific message(s) to switch to TLS for communication. protocol is a keyword for the intended protocol. Currently, the only supported keywords are "smtp", "pop3", "imap", and "ftp".

que lhe permitiria recuperar facilmente o certificado público, mas o LDAP não é um deles, infelizmente.

Como a atualização para o TLS é específica do protocolo, você precisa de uma ferramenta que entenda o protocolo. Isso exclui o OpenSSL.

Eu não tenho um diretório em mãos, mas o verboso ldapsearch -Z -v -H ldap://ldap.example.com:389 ... não exibiria o certificado como parte das informações de depuração?
Uma pesquisa rápida mostra que o Apache Directory studio também exibe o certificado .

Atualização:

O Openssl 1.1.1 incluiu um patch para adicionar suporte LDAP (RFC 4511) a s_client e -starttls ldap agora é suportado. As versões do openssl do RHEL / CentOS 7 parecem ter retornado essa atualização (e outras) para o pacote openssl 1.0.2k, já que o manual agora possui 8 protocolos starttls adicionais:

-starttls protocol
send the protocol-specific message(s) to switch to TLS for communication. protocol is a keyword for the intended protocol. Currently, the only supported keywords are smtp, pop3, imap, ftp, xmpp, xmpp-server, irc, postgres, lmtp, nntp, sieve and ldap.