Cisco NX-OS: gNOI endpoint `LoadCertificateRequest` does not allow setting `ca_certificate`
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 28/100
- issue の種類
- 機能追加
- 明瞭さ
- 説明が足りない
- 活発さ
- 活発
- 領域
- networking, security
調査の方向性
gNOI cert.proto の LoadCertificateRequest 定義から始め、リンクされている再現スクリプトを Cisco NX-OS に対して実行します。network-operator にこのエンドポイントのエントリポイントがあるかを確認し、要求されたスコープに ca_certificate のサポート、秘密鍵の処理、またはその両方が含まれるかを明確にします。完了条件は、プライベート CA のインストールについて合意済みで再現可能な手順が確立されることです。
索引モデルが issue の本文から書いたものです。
説明
Problem Statement
The Cisco NXOS gNOI API for the LoadCertificateRequest endpoint (see here) does not allow setting a ca_certificate, which prevents installing certificates from a private CA. The client cannot validate the chain of trust as it cannot be linked to the issuing CA because the field is missing. This restriction effectively limits certificate installation to self-signed certificates only.
This script can be run to trigger the condition.
Vendor Acknowledgement
Cisco has labeled this issue as a feature request rather than a bug, but we argue that in conjunction with #161, the gNOI endpoint cannot handle private CA installations at all. See CSCws33167.
Additionally, this gNOI endpoint leaks private keys to the disk by running crypto ca import $trustpoint pkcs bootflash:temp_pkcs_$hex_value cisco123 in the background, where cisco123 is a static password used on every import.
Workarounds
Provision and manage TLS certificates via ZTP and NX-API for better security and control over the certificate installation process.
- 主要言語
- Go
- スター
- 14
- フォーク
- 10
- 平均マージ
- 1日 22時間
- マージ済み PR（30日）
- 58
環境構築
- Dockerfile または Docker Compose ファイルあり
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
ironcore-dev/network-operator のほかの issue
-
bug
難易度 4/5 1〜2日 初心者へのやさしさ 55/100
ironcore-dev/network-operator#654 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
area/switch-automation firmware-bug vendor/cisco
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
ironcore-dev/network-operator#282 · コメント 7 件 ·
メンテナーはふだん 1 日以内に返信
-
Introduce a generic reconciler abstraction to reduce controller boilerplate再び着手できるかも @felix-kaestner が 210 日前に担当しましたが、オープン中のプルリクエストはありません。 オープンarea/switch-automation enhancement
ironcore-dev/network-operator#257 · コメント 3 件 · 担当者 1 名 ·
メンテナーはふだん 1 日以内に返信
-
area/switch-automation firmware-bug plattform/iosxr vendor/cisco
難易度 3/5 1〜2日 初心者へのやさしさ 52/100
ironcore-dev/network-operator#178 · コメント 3 件 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
area/switch-automation firmware-bug platform/nx vendor/cisco
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
ironcore-dev/network-operator#171 · コメント 3 件 ·
メンテナーはふだん 1 日以内に返信
ironcore-dev/network-operator の issue をすべて見る
似ている issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 76/100
メンテナーはふだん 1 日以内に返信
-
area/frameworks area/steve kind/bug team/frameworks
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
メンテナーはふだん 1 日以内に返信
-
Exclude merge queue branches from push trigger in ci-workflow.yaml to eliminate duplicate CI runsオープンbug infra ready-for-triage triaged
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
redhat-et/ProtoBot#312 · コメント 2 件 · リアクション 1 件 ·
メンテナーはふだん 1 日以内に返信
-
難易度 2/5 1〜3時間 初心者へのやさしさ 82/100
メンテナーはふだん 1 日以内に返信