Mac OS X agent doesn't validate server certificate for inventory upload

After further investigation with a PKI expert, we have come to the following conclusion:

1- It is normal that ocsinventory-agent can send its inventory without a local copy of the server's certificate validation chain (the so-called "cacert.pem") because (1) we are not using a self-signed certificate, and (2) Apache is configured to send the certificate validation chain to the client upon connection. With this configuration, the agent validates the certificate validation chain given by Apache up until the root certificate which is part of the OS.
2- For the same reasons, ocsinventory-agent should be able to download packages without a local copy of the server's certificate. We assume there's a bug in the part of the code doing the download.

These conclusions hold only for the Unified Unix Agent; We don't know how ocsinventory-agent behaves under Windows.

HTH,

Cyrille

Hi Cyrille,

Thanks for your reports. In OCS 2.1 RC1 relase (which coming tomorrow :) :)), we add a new "ca" configuration option to specify a path for the cacert.pem file that will be used for both https communication and packages download.

Can you try using the 2.1RC1 agent by a adding a line like this in your /etc/ocsinventory-agent/ocsinventory-agent.cfg file ?

ca=/some/path/where/you/wan/cacert.pem

Kind regards,

--
Guillaume

Salut,

je voulais faire le test aujourd'hui mais apparement il faut que j'upgrade le serveur OCSI aussi qui n'est pas encore disponible.

Ca va devoir attendre après mes vacances alors.

Désolé,

Cyr

Salut

Des news concernant ce bug?

Cordialement

Frank

Hello,

Merci pour ton suivi.

Mais, en fait, le titre de ce bug est un peu incorrect, et la proposition de mortheres ne répond pas au vrai problème que l'on suppose.

En fait, on pense que, dans notre cas, l'agent ocsi ne devrait pas avoir besoin d'une copie du certificat du serveur car notre serveur utilise un certificat signé par TERENA (et UTN-USERFirst-Hardware encore au-dessus) et qu'il est configuré pour envoyer toute la chaine certifiante aux clients lors de leurs connexions (option SSLCertificateChainFile du serveur Apache).

Avec, cette config, l'agent est censé récupérer le certificat du serveur ainsi que toute la chaine certifiante (jusqu'à UTN-USERFirst-Hardware) à chaque connexion, et est donc capable de valider l'identité du serveur sans en avoir une copie en local.

Ce semble bien être le cas pour la partie inventaire de l'agent mais pas pour la partie download.

Bien à toi,

Cyrille