南大通用GBase 8s SSL 安全配置与故障诊断-2

在 ONCONFIG 文件中设置不正确或不同的密钥库标签

SSL_KEYSTORE_LABEL  配置参数指定在密钥库数据库（存储 SSL 密钥和数字证书的受保护数据库）中使用的服务器数字证书的标签。默认值是存储在 GBASEDBTDIR/ssl/servername.kdb 目录下的 IDS 密钥库中的默认 SSL 证书的标签。

如果   SSL_KEYSTORE_LABEL   配置变量未被设置为默认（它是空的，比如 XXX ）并且服务器的自签名证书是使用其他值创建的，则在 IDS 初始化过程中会遇到以下错误消息：

清单 14. 密钥库标签错误消息

15:27:48  Dynamically allocated new virtual shared memory segment (size 8820KB)

15:27:48  Memory sizes:resident:13068 KB, virtual:16820 KB, no SHMTOTAL limit

15:27:49  Global Security Kit (GSKit) version 7.0.4.27.

15:27:49  Secure Sockets Layer error: GSK_ERROR_BAD_KEYFILE_LABEL.

要纠正此错误，请确保   SSL_KEYSTORE_LABEL   配置变量的值匹配服务器的自签名证书，或者使用默认值。

使用不正确或不存在的服务器密钥库

SSL_KEYSTORE_FILE  是用于存储客户机连接到的所有服务器的根 CA 证书的密钥的完全限定名。如果服务器密钥库文件 $GBASEDBTDIR/ssl/servername.kdb 不存在或者被损坏，则在 IDS 初始化的过程中会遇到以下错误消息：

清单 15. 密钥库不正确错误

15:34:13  Dynamically allocated new virtual shared memory segment (size 8820KB)

15:34:13  Memory sizes:resident:13068 KB, virtual:16820 KB, no SHMTOTAL limit

15:34:13  Global Security Kit (GSKit) version 7.0.4.27.

15:34:13  Secure Sockets Layer error: GSK_KEYFILE_IO_ERROR

要纠正此错误，请确保服务器密钥库存在。

缺少服务器密钥库存储文件

SSL_KEYSTORE_STH   是包含加密密钥库密钥的存储文件的完全限定名。如果缺少该文件，则在 IDS 初始化的过程中会遇到以下错误：

清单 16. 缺少存储文件

15:39:14  Dynamically allocated new virtual shared memory segment (size 8820KB)

15:39:14  Memory sizes:resident:13068 KB, virtual:16820 KB, no SHMTOTAL limit

15:39:14  Global Security Kit (GSKit) version 7.0.4.27.

        15:39:14  Secure Sockets Layer error: GSK_ERROR_BAD_KEYFILE_PASSWORD.

conssl.cfg 文件中缺少密钥库的值和存储文件位置

conssl.cfg 文件仅供 SQLI 客户机使用，并且包含客户机密钥库和客户机存储文件的位置。如果 conssl.cfg 不存在或者未配置上述任何参数，则客户机密钥库和存储文件默认将为 $GBASEDBTDIR/etc/client.kdb 和 $GBASEDBTDIR/etc/client.sth 。如果  SSL_KEYSTORE_FILE   和 / 或 SSL_KEYSTORE_STH   的值不正确，则客户机在连接到 IDS 时会遇到以下错误：

清单 17. conssl.cfg 文件中缺少值

[toru:/work/manojm/sqldist/11.50/etc] dbaccess - -

> connect to "@demo_ssl_on" user "bob";

   ENTER PASSWORD:

28014: Secure Sockets Layer error: GSK_KEYRING_OPEN_ERROR-Keyring file did not open.

Bad file number

Error in line 1

Near character position 1

确保客户机 conssl.cfg 文件中使用了有效值（如果需要使用它）。

结束语

Internet 传输中的数据的安全性正在变得日益重要。如今，公共网络中的每名用户都在发送着各种各样的数据，从电子邮件到信用卡信息，不一而足。同时，用户希望这些信息在公共网络上传输时受到保护。本文概述了如何使用 ISD 的 SSL 特性来为传输中的数据提供保护。