Newsgroup: it.comp.os.linux.sys
Titolo: openssl fetchmail gmail

ciao a tutti.
vorrei fare in modo che fetchmail prelevi la posta dal server pop3 di
gmail (ho abilitato il servizio nei setting di gmail).
eseguo il seguente comando:
openssl s_client -connect 
pop.gmail.com:995
 -CApath certs/.certs
-showcerts
ma dopo un po' va in timeout e printa:
connect: Connection timed out
connect:errno=29
succede anche ad altri ? ho cercato un po' ma non ho trovato nessuno
con lo stesso problema, avete qualche suggerimento per favore? 
grazie.

 connect:errno=29
Ehhm, firewall?
Comunque sarebbe una questione da icol.
-- 
  Brownout
ICQ IM: 236537882
MSN IM: brown dot out at hotmail dot com
OpenPGP key: 0xCB11EA7E
  fingerprint = 6706 B72E 0500 EC52 B33D  13B6 FCFA 8BE5 CB11 EA7E

 Comunque sarebbe una questione da icol.
icol: it.comp.os.linux.iniziare?
ciao.

 Comunque sarebbe una questione da icol.
togliendo questa opzione: 'sslcertck' da .fetchmailrc tutto funziona
correttamente.
a parte che fetchmail mi ha scaricato una marea di mail LOL!
grazie.

 correttamente.
Ma si stava parlando del client openssl o sbaglio?
Comunque pessima idea, togliere sslcertck da fetchmailrc ti mette a
rischio di attacchi man in the middle, ti fa accettare qualsiasi
certificato e praticamente vanifica l'utilizzo dell'SSL.
Il fatto che tu non abbia firewall immagino dovrebbe dire gia' tutto
sulla tua propensione a scelte stupide e facili.


 utilizzando.
Stai scherzando vero?
Innanzitutto, in una situazione home, facilmente hai un sacco di servizi
che girano e che non sai di avere, scommetto che l'OP ha ssh attivo e
non lo usa; la situazione e' ancora peggiore con Windows come e' noto.
Secondariamente, quei servizi che effettivamente desideri vorresti che
siano accessibili solo dalla LAN casalinga, vedi Samba.


 ambiti è ovviamente fondamentale, invece.
Guarda caso l'OP ha Windows in dual boot e lo ha usato per inviare il
messaggio, ritieni che ricada in uno di questi ambiti?


 non lo usa;
scommetti male. i servizi attivi li ho decisi io. nessuno di questi
servizi presenta porte aperte all'esterno. la macchina gira in una
virtual machine vmware.
ora, se ti va di spiegarmi come far sì che abilitando la funzione
sslcertck tutto funzioni correttamente e magari anche come far
funzionare lo scambio dei certificati per non mandare password in
chiaro te ne sono grato e sei sicuramente più utile rispetto a dirmi
che la cosa è male (quello leggendo la doc lo so anch'io).
se invece sei qui a fare il saputone di turno, non fa nulla, continuo a
mandare le password in chiaro, così magari riesci a leggerti la mia
mail, scaricarti un po' di pps e vedere qualche gnocca.
ciao e grazie.

 non lo usa;
scommetti male. i servizi attivi li ho decisi io. nessuno di questi
servizi presenta porte aperte all'esterno. la macchina gira in una
virtual machine.
ora, se ti va di spiegarmi come mai abilitando l'opzione sslcertck il
certificato lato gmail e quello lato macchina hanno problemi te ne sono
grato e sei sicuramente più utile rispetto a dirmi che la cosa è male
(quello leggendo la doc lo so anch'io).
se invece sei qui a fare il saputone, non fa nulla, continuo a mandare


 mail, scaricarti un po' di pps e vedere qualche gnocca.
La password in chiaro non la mandi comunque, e' che fetchmail si fida
del certificato che ti passa il server senza verificarlo.
"pps"? packet per second?


 Devi scaricare il certificato associato a 
pop.gmail.com
.
[..cut cut..]
Ora che ci penso dovrebbe bastarti quello della root CA.
Piglia il certificato di equifax da /etc/ssl/certs, mettilo in una
directory di tuo gusto, c_rehash e passa la dir a fetchmail con sslcertpath.
Lancia fetchmail verboso e controlla che vada tutto bene.
A voler fare una cosa straveloce, potresti passare a sslcertpath
direttamente /etc/ssl/certs, ma non e' una soluzione che non
soddisferebbe la mia personale paranoia.
Naturalmente tutto quello di cui sopra presuppone sempre sslcertck.


 soddisferebbe la mia personale paranoia.
"non e' una soluzione che soddisferebbe la mia personale paranoia"
spiace spammare sul ng, ma l'ora e' tarda e devo ancora mangiare ;-)


 messaggio di timeout succede qualcosa che non ci hai detto?
ciao Brownout. Ti ringrazio per la risposta. allora, la connessione
openssl con gmail funziona e scarico il certificato. non so dirti
perchè l'altro giorno andava in timeout. riprovandola dopo che
fetchmail si è messo a scaricare la posta termina correttamente. può
essere un problema della mia connessione, ma non so che dirti... non ho
mai avuto grossi problemi con essa.
quindi, scarico il certificato gmail. l'ho messo in un file gmail.pem
all'interno di ~/certs/.certs
prendo il certificato della root CA da /etc/ssl/certs e lo copio
anch'esso in ~/certs/.certs con nome rootCA.pem
a questo punto eseguo:
c_rehash ~/certs/.certs
vengono correttamente creati i link ai due certificati.
configuro .fetchmailrc con le opzioni sslcertck e sslcertpath
'~/certs/.certs'
 questo però è l'errore che ottengo se abilito l'opzione sslcertck:
Sep 28 23:12:38 ubuntu fetchmail[17060]: 6.3.2 querying 
pop.gmail.com
(protocol POP3) at gio 28 set 2006 23:12:38 CEST: poll started
Sep 28 23:12:38 ubuntu fetchmail[17060]: Issuer Organization: Equifax
Sep 28 23:12:38 ubuntu fetchmail[17060]: Unknown Issuer CommonName
Sep 28 23:12:38 ubuntu fetchmail[17060]: Server CommonName:
pop.gmail.com
Sep 28 23:12:38 ubuntu fetchmail[17060]: 
pop.gmail.com
 key fingerprint:
59:51:61:89:CD:DD:B2:35:94:BB:44:97:A0:39:D5:B4
Sep 28 23:12:38 ubuntu fetchmail[17060]: Server certificate
verification error: unable to get local issuer certificate
Sep 28 23:12:38 ubuntu fetchmail[17060]: connessione SSL fallita.
Sep 28 23:12:38 ubuntu fetchmail[17060]: socket error while fetching
from x...@gmail.com@
pop.gmail.com
Sep 28 23:12:38 ubuntu fetchmail[17060]: 6.3.2 querying 
pop.gmail.com
(protocol POP3) at gio 28 set 2006 23:12:38 CEST: poll completed
Sep 28 23:12:38 ubuntu fetchmail[17060]: Query status=2 (SOCKET)
Sep 28 23:12:38 ubuntu fetchmail[17060]: Writing fetchids file.
Sep 28 23:12:38 ubuntu fetchmail[17060]: sleeping at gio 28 set 2006
23:12:38 CEST
mi rendo conto dai log che il certificato server non trova il
certificato locale con il quale fare il match. Se tolgo l'opzione
sslcertck tutto funziona correttamente (e te credo, non esegue il
controllo). Ma perchè non matchano? Hai qualche input da darmi?
Ti ringrazio per la disponibilità.
A presto.

 controllo). Ma perchè non matchano? Hai qualche input da darmi?
Sembrerebbe non trovare il certificato della root CA corrispondente(che
in questo caso e' anche chi ha rilasciato quello per il server). E'
Equifax, sicuro di aver messo quello giusto?


 Equifax, sicuro di aver messo quello giusto?
ciao. grazie.
allora, è equifax, sì. come faccio ad essere certo di aver messo
quello giusto?
c'è un qualche tipo di controllo da effettuare?
grazie.