Error de verificación de firma de AnyConnect Hostscan en Linux

Introducción

Este documento describe cómo resolver un error de conexión de Cisco AnyConnect Secure Mobility Client si implementa Hostscan en Linux.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco AnyConnect
• Cisco Secure Desktop (CSD)
• Linux

Componentes Utilizados

La información de este documento afecta a los usuarios de Linux que ejecutan CSD Hostscan.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Problema

Cuando un usuario de Linux ejecuta Cisco Anyconnect junto con CSD Hostscan, aparece un mensaje de error que indica el error Error de evaluación de estado con un error de inicialización de Hostscan:

En el archivo libcsd.log, un mensaje de error indica que el certificado utilizado para firmar el binario CSD Hostscan ha caducado:

[Thu Feb 07 18:52:15.774 2013][libcsd][all][csd_init]
  hello
[Thu Feb 07 18:52:15.774 2013][libcsd][all][csd_init]
  libcsd.so version 3.1.02040
[Thu Feb 07 18:52:15.774 2013][libcsd][debug]
  [hs_transport_init] initialization
[Thu Feb 07 18:52:15.774 2013][libcsd][debug]
  [hs_file_verify_with_killdate] verifying file
  signature: file = [/opt/cisco/anyconnect/lib/libaccurl.so.4.2.0],
  signer = [Cisco Systems, Inc.], type = [2]
[Thu Feb 07 18:52:15.963 2013][libcsd][error][verify_cb]
  Error 10, certificate has expired
[Thu Feb 07 18:52:15.963 2013][libcsd][error][verify_cert]
  Certificate is not trusted
[Thu Feb 07 18:52:15.964 2013][libcsd][error]
  [hs_file_verify_with_killdate] unable to verify
  the certificate trust.
[Thu Feb 07 18:52:15.964 2013][libcsd][error][hs_dl_load_global]
  file signature invalid, not
  loading library (/opt/cisco/anyconnect/lib/libaccurl.so.4.2.0).

Nota: Los usuarios de Mac y Windows no se ven afectados por este problema. Esto se debe a que el código de cliente de Mac y Windows verifica que el certificado utilizado para la firma es válido en el momento de la firma del código, mientras que el código de cliente de Linux verifica si el certificado utilizado para la firma es válido actualmente.

Solución

Dado que el problema se debe a la fecha en la que se firmó el certificado, puede cambiar el reloj del sistema para permitir que el usuario se conecte; sin embargo, esto no es una solución.

El ID de bug de Cisco CSCue4963 (sólo para clientes registrados) fue archivado para resolver este problema. Para obtener la corrección, actualice a AnyConnect Versión 3.1.02043, o actualice solamente el paquete Hostscan Engine a la Versión 3.0.11046, como se muestra aquí:

webvpn 
enable outside 
csd hostscan image disk0:/hostscan_3.1.02043-k9.pkg
csd enable 
anyconnect image disk0:/anyconnect-win-3.1.02040-k9.pkg 1 regex "Windows NT" 
anyconnect image disk0:/anyconnect-macosx-i386-3.1.02040-k9.pkg 2 regex "Mac OS" 
anyconnect image disk0:/anyconnect-linux-3.1.02043-k9.pkg* 3 regex "Linux"

Nota: Estos enlaces se conectan a las versiones correctas de las descargas de software (sólo para clientes registrados).