Web de Rootzertikat importieren...es tut sich nichts !

Hallo sabrehawk,

und willkommen im Forum! (<= Ja, so viel Zeit nehmen wir uns hier ... .)
Es ist gut, dass du dir Gedanken um die Vertraulichkeit deiner Mails machst.

Hier ist bestimmt:
SMIME oder PGP: SMIME gemeint.

Zitat

Ich versuche neben meinem persönlichen Zertifikat auch die Root Zertifikate (unter Herausgeber) zu importieren
(Quelle: http://trust.web.de/ )

So soll es auch sein. Und ich gehe einfach mal davon aus, dass dein persönliches Zertifikat auch vom web.de-TrustCenter ausgestellt wurde.

Zitat

Es lassen sich die .DES dateien auch anwählen und dann auf OK ..,

Welche ".DES dateien"?
Zertifikate (also öffentliche Schlüssel) werden im .cer, .der, mitunter auch .pem-Format angeboten. DES ist ein symmetrisches Verschlüsselungsverfahren und kein Format für ein Zertifikat.

Du musst immer die vollständige Zertifikatskette installieren (und denen auch das Vertrauen aussprechen!), mit denen dein eigenes Zertifikat (deine eigene Schlüsseldatei .p12 oder .pfx) signiert wurde. In der Regel bist du mit den aktuellen Zertifikaten auch bestens bedient.
=> Schau dir dein eigenes Zertifikat an und drucke am besten die Zertifikatsdaten aus (exakter Name der herausgebenden Stelle, Gültigkeit, Fingerprint des zur Signatur verwendeten Schlüssels).
Jetzt installiere zuerst die aktuellen Zertifikate (.der herunterladen abspeichern und installieren). Das muss funktionieren! Gerade für dich noch mal getestet. Dann vergleiche die Daten mit denen, die bei dir verwendet wurden. Wenn keine Übereinstimmung, musst du auch ältere herunterladen und installieren. Es schadet keinesfalls und ist auch kein "Sicherheitsrisiko", wenn du ältere Herausgeberzertifikate installiert hast.

Zitat

Die Web De Zertifikate tauchen nicht in der Liste der "Authorities" oder "Server" auf.

Auch wenn es keine Rolle spielen dürfte, wieso spricht dein TB englisch?

Zitat

Auch lassen sich die Web.de Zertifikate probeweise ebenfalls nicht in den Windows-eigenen Zertifikatspeicher (rechtsklick "Zertifikat installieren")
übertragen. Meldung :; "Diese Datei ist für Folgende Verwendung ungültig: Sicherheitszertifikat")

Siehe oben. Was hast du denn heruntergeladen? Die Dateien heißen "webderoot.der" und "webdeca.der", usw.

Zitat

Ja ich bin auf dem Rechner Administrator .(UAC ist übrigens OFF)

Und ich hoffe mal in deinem eigenen Interesse, dass du diesen Zustand bald änderst.
Das Administratorkonto ist nur zum Administrieren zu verwenden.
Zum "Arbeiten" sind eingeschränkte Nutzerkonten anzulegen und zu verwenden.

MfG Peter

Hi sabrehawk,

ich habe jetzt extra noch mal nach den uralten Zugangsdaten meines seit Jahren nicht mehr genutzten Krüppelkontos von web.de gesucht und dieses Kto eingerichtet (es war bis zum Quota mit Müll gefüllt, zum Glück passt da ja nicht so viel rein ...).

Und ich habe auch mein altes Zertifikat gefunden (ich werfe ja nichts weg, und selbst ein uralter Schlüssel taugt ja immer noch zum Entschlüsseln, wenn auch nicht mehr zum Signieren).
Die dazu passenden Herausgeberzertifikate installiert - und alles war in Butter.

=> Es geht also! (Zumindest soll das als Beweis dienen, dass es prinzipiell funktioniert, damit haben wir aber nicht die Ursache, warum es das bei dir nicht funktioniert.)

Die Zertifikate und deinen Schlüssel brauchst du bei ausschließlicher Nutzung im Thunderbird nicht in den Zertifikatsspeicher der WinDOSe importieren - schon gar nicht als Administrator. Thunderbird benutzt einen, völlig vom BS unabhängigen eigenen Zertifikatsspeicher, und der liegt im TB-Userprofil des jeweiligen Nutzers.

Da du ja, im Gegensatz zu mir, noch keine 168 Benutzerzertifikate (die meiner Mailpartner) und wohl auch noch keine 15 eigene Schlüssel importiert hast, schlage ich dir jetzt folgende "brutale" Methode vor:

1.) TB beenden
2.) Im Profil die folgenden Dateien durch einfaches Umbenennen (als Rückweg bei Problemen) vor dem Programm verstecken:
- cert8.db
- key3.db
3.) TB wieder starten. Die Dateien werden dann wieder neu angelegt. Zumindest dein eigener Schlüssel muss dann wieder importiert werden.

MfG Peter

Nö (wenn ich damit einmal anfange ...)
Lege mal mit dem Profilmanager ein frisches Testprofil an. Wirklich von NULL an aufbauen.

Vielleicht noch einen anderen Test:
Hole dir mal die Herausgeberzertifikate eines anderen TrustCenters. Meinetwegen vom TC Hamburg. TC TrustCenter - TC TrustCenter - Digitale Zertifikate und PKI ...
Klappt es da?

Du importierst die beiden Zertifikate aber schon nach "Herausgeber"? Es sah mir aus wie "Servers".
(Ich hatte Probleme mit der kleinen Anzeige)

Bei den Zertifikaten vom TC HH: Die dortigen Kollegen bieten sehr viele Zertifikate an. Es geht doch eigentlich nur darum, ob du überhaupt erfolgreich Herausgeberzertifikate importieren kannst.
Importiere doch einfach alles, was da angeboten wird. Probleme treten dadurch keine auf. Es sind maximal die Herausgeberzertifikate für höherwertige Nutzerzertifikate dabei. Also für Zertifikate, bei denen eine ordnungsgemäße Identifizierung der Antragsteller stattfindet und bei denen du dich im Unterschied zu den beliebten Kostnix-Zertifikaten wirklich darauf verlassen kannst, dass die im Zertifikat genannten Personen authentisch sind.
Also einfach alle Z. importieren.

Wie es aussieht, liegt es ja wohl nicht am TB.
Zwei Möglichekeiten:
1.) eine höfliche Nachfrage bei dem Mailprovider deines Vertrauens (der aber nicht das TrustCenter meines Vertrauens betreibt!)
2.) dir ein Nutzerzertifikat bei einem anderen TV holen.

Wie ich oben schon geschrieben habe, habe ich es mit meinen uralten Zugangsdaten, meinem ebenso alten Zertifikat und den dazugehörigen Herausgeberzertifikaten getestet. Ich will nicht ausschließen, dass die aktuellen Zertifikate "ein Problem" haben ... .

Zitat

und gehst einfahc mal auf ÖFFNEN damit installierst du nichts sondern es poppt bloss die Eigenschaftsbox des Zertifikats auf..

Also dass ausgerechnet mir mal jemand erklärt, wie man mit einem Zertifikat umzugehen hat ..... . :lol:

OK, du kannst deine Mail abschicken.
Ich habe es natürlich vorhin mit meinem eigenen uralten Zertifikat und dem dazu passenden Herausgeberzertifikat getestet.
Und mir ist aufgefallen, dass das letzte in der Reihe (längst abgelaufen) sich ordnungsgemäß herunterladen und installieren lässt.
Bei allen anderen geht es nicht! Man erkennt das schon an der hinterlegten URL. Ich habe extra für dich ausnahmsweise meine virtuelle WinDOSe gebootet und auch damit getestet.
Was mir noch aufgefallen ist: Nirgendwo bietet dir web.de ein neues Zertifikat an! Ich vermute mal, dass sie an dem nicht unbeträchtlichen Aufwand erstickt sind. Sie haben eine Infrastruktur in einer Zeit aufgebaut, wo wir alle geglaubt haben, dass sich in DL die elektronische Signatur durchsetzen wird. Und hat sie? Keinesfalls! Auch der nPA wird da keine Wende bringen. Leider.

MfG Peter

Überschlafe die Sache doch noch einmal.
Eine uralte Mailadresse wegzuwerfen geht fix. Aber allen eine neue Adresse mitzuteilen ist nicht ganz ohne, vor allem, wenn diese auch an Firmen, Newsletter usw. bekannt gegeben wurde.
Und web.de hat ja auch Features, die nicht zu verachten sind.

Dazu zähle ich auch (jawohl!) die Bereitstellung von Nutzerzertifikaten für S/MIME. Sie waren und sind (und das weiß ich eben nicht genau) immerhin der erste und einzige dt. Mailprovider, der selbiges seinen Kunden angeboten hat. Und zwar nicht wie bei den beliebten Kostnix-Zertifikaten einiger Trustcenter, bei denen ohne jegliche Identitätsfeststellung den antragstellenden Personen ein Zertifikat ausgestellt wird. Bei web.de war es schon eine echte Identitätsfeststellung (Post-Ident), die schon als Signaturgesetzkonform bezeichnet werden kann. Auch wenn sie mit dem weiteren Rest alles wieder kaputt gemacht haben ... .

Dein privater Schlüssel ist bei web.de gespeichert und du kannst ihn auf deren Webmailfrontend zum Entschlüsseln und Signieren nutzen. Klar kannst du ihn auch lokal speichern und in einen beliebigen MUA einfügen. Trotzdem ist er "dort" gespeichert.
(Eine Verschlüsselung, welche extern erfolgt, ist für mich keine Verschlüsselung!)
Dafür kannst du dich bei einer Signatur "mit an Sicherheit grenzender Wahrscheinlichkeit" darauf verlassen, dass diese von eben jener Person durchgeführt wurde. (Auch wenn "web.de" dies natürlich theoretisch mit deinem dort hinterlegten Schlüssel selbst machen könnte. Aber es ist rechtlich schon ein bedeutender Unterschied, "Wolfgang" eine ehemals verschlüsselte Mail nach Aufforderung im Klartext zu übergeben oder eine Signatur mit deinem Namen zu faken. Dafür gibt es meines Wissens -noch- keine rechtliche Grundlage.)

Andererseits werden die "Kostnix-Zertifikate" einiger dt. Trustcenter mit Hilfe von Zertifikatsrequests erzeugt. Dein eigener Browser (!) generiert den privaten Schlüssel, berechnet den öffentlichen Schlüssel, ergänzt ihn mit den von dir zu sendenden Zertifikatsdaten und schickt diesen Request in einem automatisierten Verfahren an das Trustcenter. Dort werden die fehlenden Zertifikatsdaten (die des TC) ergänzt, alles mit dem Herausgeberzertifikat signiert und wieder an deinen Browser zurückgeschickt. Damit liegen im Browser der private Schlüssel und das vollständige Zertifikat vor, und du kannst beides als Schlüsseldatei (.p12 oder .pfx) exportieren.
Dies ist allemal sicherer.
Nur, bei den Kostnix-Zertifikaten gibt es eben keine Identifizierung des Antragstellers. Genau das ist es, was bei der Herstellung eines höherwertigen Zertifikates den Preis ausmacht! Denn das kannst du nur mit Manpower realisieren!

Aber ist dass wirklich (für unsere privaten Pillepalle-Mails erforderlich?
Jeder, der sich ernsthaft mit dem Thema befasst, kann auf seiner Webseite seine persönlichen Zertifikate öffentlich zum Download anbieten. Einschließlich deren Hashwerte und der Herausgeberzertifikate. Jeder Mailempfänger kann dann selbst überprüfen. Und wenn ich einem Erstkontakt in meiner Mail meine Telefonnummer gebe, damit er mit mir den Hashwert bestätigen kann.
Und zur Verschlüsselung ist ein derartiges Kostnix-Zertifikat (fast!) genau so gut geeignet, wie ein teueres Kaufzertifikat.
(Auch wenn das für unsere Zwecke jenseits von Gut und Böse ist: Es gibt schon "kleine Unterschiede" zwischen einem durch den Pseudo-Zufallszahlengenerator des PC generierten Schlüssel und dem Schlüssel, der in einem Trustcenter durch den auf einer Mikroprozessorchipkarte integrierten qualifizierten kryptologischen Rauschgenerator direkt auf dieser Karte erzeugt wurde!)

Soviel zum Thema ... .

MfG Peter

Hallo

vielleicht wirklich mal prüfen ob "deine" Web.de root CAs in Ordnung sind. Die md5 Prüfsummen meiner funktionierenden sind:

2a86ebeb194ee5c6d2b3ef2ca92da8cc webderoot.der

43ccb953e18f3dbe0159d615e8c478ec webdeca.der

Wenn sich das unterscheidet ...

Gruß

Andi