Hi Christian,
Danke für deine Informationen.
Zum Zertifikats-Erzeugungsprogramm:
Dann versuche es doch mal mit "XCA". Das gibt es sowohl für Linux als auch für die WinDOSe.
Durch die Möglichkeit richtige Templates zu erstellen (für wirklich jeden Anwendungsfall!), ist das Programm fast so komfortabel zu bedienen, wie die Anwendungen in einem professionellen Trustcenter. (Ich weiß, wovon ich schreibe.)
Mit diesem Programm stelle ich jedes Jahr ein paar Hundert Zertifikate für diverse Interessenten her.
Zu dem alten Bug im TB:
Bereits in meinem FAQ-Beitrag zum Thema aus dem Jahre 2007 habe ich diesen erwähnt. Es gibt ihn also nicht erst seit TBv3.
Wenn ein Zertifikatsbastler das reine selbstsignierte Userzertifikat herausgibt - und der User explizid im TB das Vertrauen in dieses Zertifikat einstellen muss, dann ist der Herausgeber des Zertifikates - sorry - ein Pfuscher. Auch bei selbstsignierten Zertifikaten sollte die "Privat-CA" wie ihr großes Vorbild zuerst eine CA aufsetzen und davon ausgehend die Nutzerzertifikate erstellen. Besser noch eine PCA und jährlich eine Jahres-CA. Und die Zertifikate aller dieser CA gehören entweder auf die Webseite (zusammen mit den Hashwerten) oder sind zumindest dem Nutzer zum Import zu übergeben. Und wenn diese erst importiert wurden, sind die Nutzerzertifikate wie die eines etablierten Trustcenters zu verwenden.
NB: Mit XCA kann man sehr komfortabel der Schlüsseldatei (.p12, .pfx) gleich noch die CA-Zertifikate mit in den Container geben. Den eigenen Schlüssel importiert - und alle Zertifikate sind der Anwendung bekannt. Nur noch das Vertrauen einstellen. Und wenn die anderen Nutzer auch noch Zertifikate der gleichen CA haben, tritt das von dir angesprochene Problem überhaupt nicht auf, bzw. werden die Userzertifikate schon beim Empfang der ersten signierten Mail importiert.
Komfortabler geht es nicht ... .
MfG Peter