validación - utl_http oracle 11g

Uso de utl_http & wallets en 12c: falla de validación del certificado

Question

Espero que alguien pueda detectar lo que estoy haciendo mal, ya que me estoy quedando calvo de esto.

He usado utl_http & wallets para llamar a https en 11gR1 sin muchos problemas, pero nuestra nueva instalación 12c me está causando un gran dolor.

Intenté importar el certificado de confianza utilizando tanto el administrador de cartera de Oracle como la línea de comando, sin ningún éxito. Sé que Oracle puede ser quisquilloso en guardar la billetera, así que he intentado varias sesiones nuevas sin suerte.

He descargado los tres certificados necesarios para * .presstogo.com, Geotrust SSL CA y Geotrust Global CA.

La versión de línea de comando de mi construcción de la billetera es la siguiente:

orapki wallet create -wallet /oracle/product/12.0.1/owm/wallets/test1237 -pwd test=1237 -auto_login  
orapki wallet add -wallet /oracle/product/12.0.1/owm/wallets/test1237 -trusted_cert -cert "*.presstogo.com" -pwd test=1237  
orapki wallet add -wallet /oracle/product/12.0.1/owm/wallets/test1237 -trusted_cert -cert "GeoTrust SSL CA" -pwd test=1237  
orapki wallet add -wallet /oracle/product/12.0.1/owm/wallets/test1237 -trusted_cert -cert "Geotrust Global CA" -pwd test=1237  
orapki wallet display -wallet /oracle/product/12.0.1/owm/wallets/test1237   
Oracle PKI Tool : Version 12.1.0.1  
Copyright (c) 2004, 2012, Oracle and/or its affiliates. All rights reserved.  
Requested Certificates:   
User Certificates:  
Trusted Certificates:   
Subject:        OU=Class 3 Public Primary Certification Authority,O=VeriSign/, Inc.,C=US  
Subject:        CN=GTE CyberTrust Global Root,OU=GTE CyberTrust Solutions/, Inc.,O=GTE Corporation,C=US  
Subject:        CN=GeoTrust SSL CA,O=GeoTrust/, Inc.,C=US  
Subject:        OU=Class 2 Public Primary Certification Authority,O=VeriSign/, Inc.,C=US  
Subject:        OU=Class 1 Public Primary Certification Authority,O=VeriSign/, Inc.,C=US  
Subject:        CN=GeoTrust Global CA,O=GeoTrust Inc.,C=US  
Subject:        CN=*.presstogo.com,OU=IT,O=Press to go AS,L=Oslo,ST=Norway,C=NO,SERIAL_NUM=SJYpOHrRdCDHE8KZ6dRFGMJthOjs7-v3  

Ok, probemos esto. Inicie sesión en sqlplus y ejecute lo siguiente:

declare  
    lo_req    utl_http.req;  
    lo_resp   utl_http.resp;  
begin  
    utl_http.set_detailed_excp_support ( true );  
    utl_http.set_wallet ( ''file:/oracle/product/12.0.1/owm/wallets/test1237'', ''test=1237'');  
    lo_req := utl_http.begin_request ( ''https://production.presstogo.com/mars/hello'' );  
    lo_resp := utl_http.get_response ( lo_req );  
    -- A successfull request would have the status code "200".   
    dbms_output.put_line ( lo_resp.status_code );  
    utl_http.end_response ( lo_resp );  
exception  
  when others then    
    utl_http.end_response ( lo_resp );  
    raise;  
end;  

DECLARAR

*

ERROR en la línea 1:

ORA-29273: solicitud HTTP fallida

ORA-06512: en "SYS.UTL_HTTP", línea 1130

ORA-29024: error de validación de certificado

ORA-06512: en la línea 6

Para el registro, vale la pena señalar que lo siguiente funciona:

declare  
    lo_req    utl_http.req;  
    lo_resp   utl_http.resp;  
begin  
    utl_http.set_wallet ( ''file:/oracle/product/12.0.1/owm/wallets/test1237'', ''test=1237'');  
    lo_req := utl_http.begin_request ( ''https://www.google.be'' );  
    lo_resp := utl_http.get_response ( lo_req );  
    dbms_output.put_line ( lo_resp.status_code );  
    utl_http.end_response ( lo_resp );  
end;  
/  

Ayúdame Obi-Wan, eres mi única esperanza.

Answer 1

Responder mi propia pregunta para el beneficio de los demás.

Según Oracle Support, solo se debe importar la cadena de certificados, no el certificado del sitio final. En el ejemplo que utilicé arriba, solo importe los siguientes certificados en la billetera:

Geotrust SSL CA y Geotrust Global CA

No importe el certificado * .presstogo.com

Para citar el soporte de Oracle:

El motivo por el cual el select falla en 12c es que 12c no quiere ver el certificado del usuario en el monedero como un certificado de confianza.

Esto aparentemente no era un problema en las versiones anteriores, pero eliminar ese certificado de la billetera solucionó el problema aquí.

Esto contradice toda la información que he encontrado en línea sobre el uso de utl_http para conectarse a los sitios de Https, y me confundió muchísimo.

Espero que esto ayude a otros en mi situación.