Protocolo TLS

[KammutierSpule]

Alguem que perceba de protocolo TLS que perceba o que se passa com este erro?

https://pastebin.com/raw/K8DJYMYW
https://pastebin.com/raw/qyJtdf0X

[vasco]

Queixas-te de quê ?

No primeiro caso parece-me uma rede com problemas, uma retransmissão ou outra está ok, mas um monte delas juntas é mau karma. Como tens duplicados a seguir não deves estar a perder pacotes, mas há por aí algum problema de latência.
Em resumo, é capaz de funcionar mas deve estar lenta.

No segundo caso não estou certo que tenhas um erro, parece-me uma situação de working as designed.

Mas ajudava se dissesses o que é que não estas a conseguir fazer.

[KammutierSpule]

Os dois logs sao da mesma comunicação.
Isto é um microcontrolador, ligado localmente.
Aparentemente a implementação do lwIP + mbedTLS faz com que o pacote so seja ACK depois de ser processado.
Ora como o MCU demora muito tempo a processar, o ACK vai muito tarde..

Ja estive a ver em foruns do lwIP e o autor parece estar seguro da implementação..

TLS é novo para mim e isto é um mundo..
tens alguma sugestão como posso configurar um server o mais simplista possivel ?

[vasco]

Da última vez que mexi nisso ainda se achava que o SSL era seguro, deve ter sido há uns 7 anos.
Pelo que dizes o cliente é um MCU, portanto para garantir que está tudo bem configurado do lado do servidor tens que ver como se porta com um cliente normal, tipo um firefox ou chrome, não ir para o MCU até isso estar a trabalhar bem.

Como é que esse MCU "chega" à rede ? Shield ethernet ? Gateway serie ? Ou estamos a falar de um ESP32 ou ESP8266 ?
Como é que as coisas funcionam sem encriptação ? Consegues fazer um ping ? Quantos ms de RTT (round trip time)

[KammutierSpule]

Nao, o server é um MCU ligado localmente ao switch por ethernet
Tenho uma serie de coisas a testar... mas vou ter de procurar a configuraçao mais simples supostamente "segura" para poder usar num MCU

[vasco]

Se queres realmente ajuda tens que dar mais detalhes. Não tenho dinheiro para a bola de cristal.
E também muitas vezes explicar um projeto a outra pessoa melhora a nossa compreensão do mesmo pelo que ás vezes basta para resolvermos o nosso problema.

[KammutierSpule]

Sim claro,
entretanto esse erro desapareceu com a actualização de bibliotecas e mais umas quantas alteracoes, mas ainda ha outros problemas,
quando eu tiver mais claro o que se esta a passar, volto aqui com duvidas concretas

Mas ainda sobre TLS,
eu vou precisar (vou?) de gerar um certificado e o browser aceitar como valido (nao aparecer aquela mensagem a dizer que é um site inseguro)
isso é necessário um self-signed certificate?
A aplicação disto pelo que sei será um dispositivo (este MCU server) que fica localmente ligado( com um IP por DHCP ou fixo), mas ainda assim requer TLS.
assim nao vai tar "hostname", etc.. é possivel gerar um certificado nestas condiçoes?

Existe algum tipo de certificado que peça para inserir uma password para iniciar o TLS?

[KammutierSpule]

Ja consegui meter um certificado a funcionar!
mas so funciona para o IP que esta. existe alguma maneira de ter um DNS local num switch?

[Njay]

Quando um dispositivo se regista no router ele pode dar um nome, e em geral os routers resolvem esse nome. Não sei ao certo em que protocolo se dá o registo no nome, se é no DHCP ou outro à parte.

[vasco]

Um certificado ou está preso ao ip ou ao nome.
Acho que se arranjam na net certificados grátis, mas é como te digo já estou afastado dessas andanças há uns anos e não sei como está a "arte", antes não havia nada de mal em gerar e assinar o nosso certificado, agora até parece que é um crime.

Dependendo do router, podes forçar no dhcp o mesmo ip para o mesmo nome, mas isso depende do cliente de dhcp quando se liga dizer "eu sou o jaquim", o que neste caso poderá não ser suportado (aka dhcp-client-identifier).
Mesmo que esta opção não seja suportada pelo mcu podes sempre forçar o mesmo IP para o mac address do mcu no router, mas neste caso não sei ainda poderás definir um nome para esse ip de modo ao router fazer a resolução.

[KammutierSpule]

Obrigado, depois vou ver melhor isso do DHCP, tambem ainda nao sei como terei de fazer.

Para ja consegui safar-me, encontrei uma ferramenta chamada mkcert que gera certificados e adiciona ao sistema uma CA para validar os mesmos. Da para testes.

Ja agora, tinhas dito que TLS nao era seguro, falas por causa dos bugs que tem sido descobertos ou mesmo depois disso corrigido ainda continuas a dizer que nao é seguro?

[Njay]

https://letsencrypt.org