Errore di verifica della firma AnyConnect Hostscan su Linux

Introduzione

Questo documento descrive come risolvere un errore di connessione di Cisco AnyConnect Secure Mobility Client se si distribuisce Hostscan su Linux.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Cisco AnyConnect
• Cisco Secure Desktop (CSD)
• Linux

Componenti usati

Le informazioni di questo documento hanno effetto sugli utenti Linux che eseguono CSD Hostscan.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Problema

Quando un utente Linux esegue Cisco Anyconnect insieme a CSD Hostscan, viene visualizzato un messaggio di errore che indica che la valutazione della postura non è riuscita con un errore Hostscan Initialize:

Nel file libcsd.log, un messaggio di errore indica che il certificato utilizzato per firmare il file binario Hostscan di CSD è scaduto:

[Thu Feb 07 18:52:15.774 2013][libcsd][all][csd_init]
  hello
[Thu Feb 07 18:52:15.774 2013][libcsd][all][csd_init]
  libcsd.so version 3.1.02040
[Thu Feb 07 18:52:15.774 2013][libcsd][debug]
  [hs_transport_init] initialization
[Thu Feb 07 18:52:15.774 2013][libcsd][debug]
  [hs_file_verify_with_killdate] verifying file
  signature: file = [/opt/cisco/anyconnect/lib/libaccurl.so.4.2.0],
  signer = [Cisco Systems, Inc.], type = [2]
[Thu Feb 07 18:52:15.963 2013][libcsd][error][verify_cb]
  Error 10, certificate has expired
[Thu Feb 07 18:52:15.963 2013][libcsd][error][verify_cert]
  Certificate is not trusted
[Thu Feb 07 18:52:15.964 2013][libcsd][error]
  [hs_file_verify_with_killdate] unable to verify
  the certificate trust.
[Thu Feb 07 18:52:15.964 2013][libcsd][error][hs_dl_load_global]
  file signature invalid, not
  loading library (/opt/cisco/anyconnect/lib/libaccurl.so.4.2.0).

Nota: gli utenti Mac e Windows non sono interessati da questo problema. Questo perché il codice client Mac e Windows verifica che il certificato utilizzato per la firma sia valido al momento della firma del codice, mentre il codice client Linux controlla se il certificato utilizzato per la firma è attualmente valido.

Soluzione

Poiché il problema è causato dalla data in cui il certificato è stato firmato, è possibile modificare l'orologio di sistema per consentire all'utente di connettersi, ma non si tratta di una soluzione.

Per risolvere il problema, consultare l'ID bug Cisco CSCue49663 (solo utenti registrati). Per risolvere il problema, aggiornare AnyConnect versione 3.1.02043 o aggiornare solo il pacchetto Hostscan Engine alla versione 3.0.1046, come mostrato di seguito:

webvpn 
enable outside 
csd hostscan image disk0:/hostscan_3.1.02043-k9.pkg
csd enable 
anyconnect image disk0:/anyconnect-win-3.1.02040-k9.pkg 1 regex "Windows NT" 
anyconnect image disk0:/anyconnect-macosx-i386-3.1.02040-k9.pkg 2 regex "Mac OS" 
anyconnect image disk0:/anyconnect-linux-3.1.02043-k9.pkg* 3 regex "Linux"

Nota: questi collegamenti si collegano alle versioni corrette dei download del software (solo utenti registrati).