Puma 可以从变量读取 TLS 证书吗？

Question

我们有一个在 Windows 中运行的使用 Puma 的 Rails 应用程序。到目前为止，我们已经将 SSL/TLS 证书存储在文件系统上，这似乎是一般标准，以及 Puma 的设计是在启动时获取该数据。

我们希望只在磁盘上保留一个加密的 PKCS#12 文件 (.12)，该文件保存所有证书数据（一个或多个证书和私钥），在 puma 启动期间将特定证书提取到变量中，然后将其直接输入到 Puma ssl_bind 命令中。

因此，我试图弄清楚 Puma 是否可以接受保存证书数据的变量，而不是提供指向纯文本文件的预期 cert_path 和 key_path。

我尝试了几种不同的替换方法带有变量的文件路径，但到目前为止我只收到错误（例如见下文）。我已经从文件系统中输出了相同的证书密钥，它们对我来说看起来相同。我读过其他一些相关的 SO 线程，这些线程建议我可能需要添加换行符或以其他方式稍微操作变量中的数据，但到目前为止，这种思路让我感到困惑，我不确定它是否真的适合我的场景。我认为这归结为 ssl_bind 期望文件路径，并且可能在幕后运行“文件打开”逻辑。是不是根本不支持直接拿？

这是今天有效的示例：

# tls.key and tls.crt are already sitting on filesystem

ssl_bind '0.0.0.0', '443', {
key: 'certs/tls.key',
cert: 'certs/tls.crt', 
no_tlsv1: true,
no_tlsv1_1: true,
verify_mode: 'none'
}

这是我们想要做的示例

require 'openssl'

# get p12 password out of secrets at runtime
p12_password = Rails.application.credentials.p12[:password].to_s

# open encrypted p12 file 
p12 = OpenSSL::PKCS12.new(File.binread('certs/tls.p12'), p12_password)

# pull out certificate and key from p12
leafkey = p12.key.to_pem
leafcertificate = p12.certificate.to_pem       

ssl_bind '0.0.0.0', '443', {
    key: leafkey,
    cert: leafcertificate,
    no_tlsv1: true,
    no_tlsv1_1: true,
    verify_mode: 'none'
    }

我们从上面收到的错误是：

C:/Ruby27-x64/lib/ruby/gems/2.7.0/gems/puma-4.3.8/lib/puma/minissl.rb:209:in `key=': No such key file '-----BEGIN EC PRIVATE KEY-----MDECAQEEIBccaYhSLodf 4TRzzWkOE5rr8t Ul0oQHcjYmmoiuvloAoGCCqGSM4jdu73-----END EC PRIVATE KEY-----' (ArgumentError)

这是有效的 EC 密钥数据，但 Puma/ssl_bind 看起来很困惑（毫不奇怪），它不是磁盘上包含此数据的文件的预期路径。 我们可以通过这种方式欺骗 Puma 直接接受它吗？

感谢您阅读并花时间表达您的任何想法！

Answer 1

此要求是作为增强功能添加到 此 PR

到目前为止，我似乎能够将 Puma 从 4.3.8 直接更新到 5.6.2，没有任何麻烦。我们确实需要将 2 个选项更新为 *_pem 版本，即

cert 变为 cert_pem< /em> 和
key 变成 key_pem

有了这个，它就可以工作了。

使用 puma 5.6.2 运行的示例：

require 'openssl'

# using cleartext password for testing/simplicity
p12 = OpenSSL::PKCS12.new(File.binread('certs/tls.p12'), "1234")

leafcertificate = p12.certificate.to_pem
leafkey = p12.key.to_pem

ssl_bind '0.0.0.0', '443', {
    cert_pem: leafcertificate,
    key_pem:  leafkey,
    no_tlsv1: true,
    no_tlsv1_1: true
    }

个人经验教训：我应该优先深入研究 Puma 存储库：拉取请求、问题等。