Zertifikatsprobleme "Falsche Website" - korrekter DNS-Name?

Hallo bella,

ich verstehe gerade das Problem nicht. Du schreibst:

Zitat von bella_

Der Zertifizierungspfad kann offenbar überprüft werden, sobald ich alle StartCom (mein Zertifikats-Austeller) Zwischenzertifikate importiert habe, denn damit verschwindet die zugehörige Fehlermeldung.

Damit sollte dann doch alles in Ordnung sein?

Gruß

Susanne

Tut mir leid, ich kann Dir nicht folgen. Vielleicht war es gestern zu spät und ist es heute noch zu früh am Tag? Wenn die Fehlermeldung (und damit der Fehler) nicht mehr auftritt, sobald Du die Zertifikatskette vollständig importiert und ihr das Vertrauen ausgesprochen hast, dann weiß ich nicht, was hier noch ein Problem darstellt.

Hallo,

Zitat von Thunder

@SusiTux kann uns vielleicht sagen, ob das eine schlechte Idee ist?

Nein, das kann ich leider nicht. Ich habe in diesem Bereich nur Halbwissen. Ich würde es allerdings nicht machen, weil sich der MX-RR einer Domain ja ausschließlich auf E-Mail bezieht. Meines Wissen dürfen dort deshalb nur Domain-Namen* stehen.

Ich würde auch nicht versuchen, ein Problem mit einem Zertifikat, das ja zunächst einmal nichts mit dem Dienst des SMTP oder dem DNS zu tun hat, dadurch zu lösen, diese Dienste "auszutricksen".

Zitat von Thunder

Ich selbst akzeptiere in Thunderbird lieber die Ausnahme für das Zertifikat (welches ich mir in Ruhe angesehen habe, dass es auch wirklich meines ist...).

Das würde ich ebenso machen. Ich Zweifel, würde ich mir ein Zertifikat mit dem richtigen Eintrag besorgen. Zuvor würde ich aber nochmals sehr genau prüfen, ob der Zertifikatskette das Vertrauen für "Dieses Zertifikat kann E-Mail-Benutzer identifizieren" ausgesprochen wurde.

Gruß

Susanne

(*) : natürlich inklusive Subdomains, aber ohne "www"

Zitat von bella_

Genau das ist ja die Frage. Was für Einträge bräuchte ich denn?

Ich dachte, das wäre längst geklärt. Der Name muss mit dem Hostname des Servers übereinstimmen, wie Du ihn auch in TB benutzt, um den Server zu erreichen.

Zitat von bella_

Aber am Pfad liegt es sicher nicht. Das habe ich ausgeschlossen.

Das kannst nur Du wissen. Ganz ehrlich, bei der unscharfen Art und Weise, in der Du das Problem beschreibst, bin ich mir da immer noch nicht sicher. Du hast z.B. nirgends erwähnt, ob Du das Vertrauen korrekt ausgesprochen hast. Ich bin mir nicht einmal sicher, ob Du überhaupt genau weißt, was Du tust.

Da soll mir aber egal sein. Wenn es denn mit dem Hinzufügen der Ausnahme funktioniert, sollte doch alles in Ordnung sein. Du hast die Zertifikate doch selbst installiert und willst ihnen eh vertrauen. Dann spricht nichts gegen eine solche Ausnahme. Vom Sicherheitsaspekt gesehen, macht das keinen Unterschied.

Ansonsten würde ich Dir empfehlen, die Zertifikate mit einer eigenen CA selbst zu erstellen. Das geht im Terminal mit openssl, aber auch mit einem Tool, das Dovecot mitliefert oder in einer graphischen Oberfläche mit xca. Letzteres habe ich bereits mehrfach benutzt, um Zertifikate für das Verschlüsseln und Signieren von E-Mails und den verschlüsselte Zugriff auf meinen Raspberry Pi (Kalender und Kontakte im TB per *Dav) zu ermöglichen. Ich kann also bestätigen, dass der TB einwandfrei mit diesen Zertifikaten arbeitet.

Startcom wurde übrigens seitens Mozilla und anderen erst kürzlich von der Liste der vertrauenswürdigen CAs gestrichen. Das betrifft in erster Linie den Firefox, soll hier also nur eine Info sein.

Zitat von bella_

Naja, falls jemand mehr Ahnung hat, kann er ja Bescheid geben

Ich weiß ja nicht, wie es Thunder dabei geht, aber nach dieser motivierenden Bemerkung solltest Du in der Tat auf jemand anderen warten. Ich werde meinen Samstag nicht weiter mit Dir verplempern.

Gruß

Susanne

Zitat von bella_

Ist das imap.example.com? Oder example.com?

Ich schrieb doch schon: So wie dein Host heißt, also genau der Servername, den Du in TB einstellst. Vermutlich bedeutet das, mit imap als Subdomain. Aber das kannst nur Du wissen. Die Frage können wir Dir nicht beantworten. Woher sollen wir denn wissen, ob der Host bei Dir nicht mail.irgendwas.de heißt oder bella.riba.es?

Zitat von bella_

Und muss dann smtp auch drin stehen?

Hast Du einen eigenen SMTP? Vermutlich nicht, denn Du würdest wohl keine Freude damit haben, weil die großen Provider auf ihren MTAs die E-Mails von Deinem SMTP ablehnen werden.
Wenn Du hingegen einen SMTP eines Providers verwendest, dann hat der natürlich nichts in dem Zertifikat des IMAP-Servers zu suchen.

Zitat von bella_

Gibt es sonstige Subdomains, die ich einfügen sollte?

Für den IMAP-Server brauchst Du keine weiteren Subdomains außer der oben genannten.

Zitat von bella_

Wie gesagt funktioniert es als SSL-Zertifikat auf der Webseite (mit allen Browsern, die ich da habe: IE, Opera, Firefox) selbst hervorragend.

Das besagt noch lange nicht, dass dieses Zertifikat auf dazu benutzt werden darf, E-Mail-Anwender zu identifizieren. Das sind zwei Paar Schuh. Auch das hatte ich oben bereits mehrfach geschrieben, weil ich so meine Zweifel hatte, ob Du das verstanden hast. Da Du den zugehörigen Dialog im TB scheinbar noch gar nicht gesehen hast, sagt mir das, dass Du das Vertrauen wahrscheinlich immer noch nicht korrekt ausgesprochen hast. Das hättest Du Dir besser mal genauer anschauen sollen, anstatt zu meckern:

Zitat von bella_

Ihr gebt mir nur immer dieselben Tipps (Zertifizierungspfad), von denen ich gesagt habe, dass ich sie ausschließen konnte:

Das stimmt ohnehin nicht, denn Thunder hat Dir noch weitere Tipps gegeben. Unter anderem den, eine Ausnahme hinzuzufügen.

Zitat von bella_

Zu den selbst-signierten Zertifikaten: Das bringt mir nichts als SSL-Zertifikat, weil das kein Browser überprüfen kann. Ich will das Zertifikat auch nicht zum Signieren/Verschlüsseln benutzen (da bräuchte ich ja S-MIME und kein SSL), sondern zur Authentifizierung des Servers.

Du kannst Dir selbstverständlich auch ein Zertifikat für den verschlüsselten Zugang zum Mailserver erstellen. Ich hatte die Tools ja nicht aus Spaß genannt. Benutze eine Suchmaschine Deines Vertrauens, dann findest Du Anleitungen z.B. für den Dovecot oder ganz allgemein zu OpenSSL.

Zitat von bella_

Bezüglich Sicherheitsproblem habe ich serverseitig halt eingestellt, dass die Authentifizierung nur per SSL geschehen darf. Das muss ich jetzt also rausnehmen.

Nein, dass musst Du nicht. Du kannst doch einfach im TB die Ausnahme hinzufügen. Dass damit kein zusätzliches Sicherheitsrisiko verbunden ist, hatte ich oben bereits erklärt. Ich dachte auch, das hättest Du längst getan. Denn Du hattest doch selbst geschrieben:

Zitat von bella_

bis dahin werde ich wohl die Ausnahmeregel nehmen.

Vorausgesetzt, dass die Zertifikate bis auf auf Domain-Namen korrekt sind, musst Du dann überhaupt nichts mehr tun. Du musst kein neues Zertifikat kaufen, Du brauchst Dir auch keines zu erstellen, Du musst Dir auch keine Gedanken über die Domain mehr machen. Deshalb verstehe ich auch nach wie vor nicht, wo überhaupt Dein Problem ist? Ich habe wirklich Schwierigkeiten, Dir zu folgen. Und ehrlich gesagt mag ich auch nicht mehr. Das zieht sich wie ein roter Faden durch Deine Antworten, macht alles sehr zach und droht, eine never ending story zu werden.
Ich würde Dir raten, es mit der Ausnahme zu versuchen und lass es dann gut sein zu lassen.