stunnelでSSLコネクションって？

[Hiroshi Kubo]

POP over SSL / SMTP over SSLを可能にすべく格闘中です。うまくいか
ないので，ゼロから勉強することにして，マニュアルの"9.4 Secure
Socket Layer"の記事理解を最初の課題に選びました。

>Mew で利用する前に、SSL サーバに対して "stunnel" で SSL のコネク
>ション が張れるか確かめて下さい。"stunnel" は、"openssl" のライ
>ブラリをリンク しているので、"openssl" の知識が必要です。

ここに含まれる「SSL サーバに対して "stunnel" で SSL のコネクショ
ンが張れるかを確かめる」には何をすればいいのでしょうか。私の状態
を知っていただくための関連情報を下につけます。

よろしくおねがいします。

[関連情報]

私の環境：
OS： Ubuntu 14.04 LTS
Emacs: GNU Emacs 24.3.1 (i686-pc-linux-gnu, GTK+ Version 3.10.7)
Mew: version 6.5

直面している壁：

POP3 サーバーアクセス over SSLを可能にすべくmew.elを設定したつも
り。

POP3にアクセスしてもパスワード入力に進まず，ミニバッファに
"Creating an SSL/TLS connection ..."を表示したままハング。

Control-gでハングを解き，"Mew debug"バッファを見る。しかし読み解
く力がない。助けを求めよう。こんなところです。

なお"Mew debug"バッファの内容は下の通りです。

<SSL/TLS: >
Clients allowed=500
stunnel 4.53 on i686-pc-linux-gnu platform
Compiled with OpenSSL 1.0.1e 11 Feb 2013
Running with OpenSSL 1.0.1f 6 Jan 2014
Update OpenSSL shared libraries or rebuild stunnel
Threading:PTHREAD SSL:+ENGINE+OCSP Auth:LIBWRAP Sockets:POLL+IPv6
Reading configuration from descriptor 3
Compression not enabled
Snagged 64 random bytes from /home/hkubo/.rnd
Wrote 1024 new random bytes to /home/hkubo/.rnd
PRNG seeded successfully
Initializing inetd mode configuration
Section stunnel: SSL server needs a certificate
str_stats: 2 block(s), 10 data byte(s), 84 control byte(s)

---久保

[y...@dearest.net]

こんにちは。

Mon, 01 May 2017 15:55:13 +0900 (JST)

Hiroshi Kubo <hk...@ba2.so-net.ne.jp> said:
>
>>Mew で利用する前に、SSL サーバに対して "stunnel" で SSL のコネク
>>ション が張れるか確かめて下さい。"stunnel" は、"openssl" のライ
>>ブラリをリンク しているので、"openssl" の知識が必要です。
>
>ここに含まれる「SSL サーバに対して "stunnel" で SSL のコネクショ
>ンが張れるかを確かめる」には何をすればいいのでしょうか。私の状態
>を知っていただくための関連情報を下につけます。

これくらいでいかがでしょうか

% cat <<EOF > test
client=yes
foreground=yes
debug=debug
connect=mail.example.jp:995
EOF

% stunnel test


openssl で確認したい場合はこちらで

% openssl s_client -connect mail.example.jp:995


--
Yu Oasa E-mail: y...@dearest.net

[Hiroshi Kubo]

Yu Oasaさん，

ご教示にしたがってみました。"Mew debug"バッファの解読技を教わっ
た気分です。ありがとうございます。

$stunnel testが表示してくれたのは，私がご相談メールに*Mew debug*
バッファ内容として書いたものとたぶん完全一致です。この中に

>Section stunnel: SSL server needs a certificate

とあります。

$openssl ... の結果も似たような行を含みます。

>Verify return code: 20 (unable to get local issuer certificate)

その意味は，「SSLのコネクションが張れていないよ」ということです
ね。

---久保

[y...@dearest.net]

Mon, 01 May 2017 18:33:50 +0900 (JST)

Hiroshi Kubo <hk...@ba2.so-net.ne.jp> said:
>
>$openssl ... の結果も似たような行を含みます。
>
>>Verify return code: 20 (unable to get local issuer certificate)
>
>その意味は，「SSLのコネクションが張れていないよ」ということです
>ね。

% apt-get install ca-certificates
とか

% update-ca-certificates
ですかね。メールサーバで使ってるサーバ証明書用のルート証明書が
入ってないか見つけられないのでしょう

[Hiroshi Kubo]

当課題について助けを求めた当人の久保です。

Yu Oasaさん(y...@dearest.net)が無給で家庭教師サービスを提供してく
ださいました。おかげで課題は解決することができました。Yu Oasaさん
のご指導は，この課題を越えて多岐に渡りましたが，ここでは当課題の
解決方法のみ，簡潔にご報告します。

[私の課題]

From: Hiroshi Kubo <hk...@ba2.so-net.ne.jp>
Date: Mon, 01 May 2017 15:55:13 +0900 (JST)

> ここに含まれる「SSL サーバに対して "stunnel" で SSL のコネクショ
> ンが張れるかを確かめる」には何をすればいいのでしょうか。私の状態
> を知っていただくための関連情報を下につけます。
>
> よろしくおねがいします。
>
> [関連情報]
>
> 私の環境：
> OS： Ubuntu 14.04 LTS
> Emacs: GNU Emacs 24.3.1 (i686-pc-linux-gnu, GTK+ Version 3.10.7)
> Mew: version 6.5

SSL サーバ：
pop.so-net.ne.jp:995
mail.so-net.ne.jp:587

[私の課題解決]

$ cat <<EOF>test
>client=yes
>foreground=yes
>debug=debug
>CApath=/etc/ssl/certs
>connect=pop.so-net.ne.jp:995
>EOF
$ stunnel4 test

*

$ cat <<EOF>test
>client=yes
>foreground=yes
>debug=debug
>CApath=/etc/ssl/certs
>connect=mail.so-net.ne.jp:587
>protocol=smtp
>EOF
$ stunnel4 test

以上です。

---久保