Intermediate-Zertifikat und SSL

intrahorst · 26. Mai 2013

Hallo,

aktuell kämpfe ich mit dem Problem, das StartSSL Zertifikate nicht korrekt funktionieren, weil das Intermediate-Zertifikat nicht übertragen wird.

Ich habe bereits wie in KB empfohlen, das Intermediate-Zertifikat und die CA von StartSSL unter Zertifikate mit eingepflegt.

Dieses Problem tritt mit allen Zertifikaten auf (Postfix, APache etc).

Mozilla Firefox und Thunderbird erkennt das Zertifikat nicht korrekt.

Leider sehe ich keine entsprechenden Logeinträge die mir helfen könnten.

mein System:

LiveConfig 1.6.2
Debian 7

Kann mir wer auf die Sprünge helfen?

vielen Dank.

arnoldB · 26. Mai 2013

Fehlermeldung? Reihenfolge beachtet? Das CA-Zertifikat musst du nicht mitgeben, das muss der Client bereits haben. Verbindung mal mit dem openssl/ gnutls-cli Tool getestet?

intrahorst · 26. Mai 2013

Hallo ArnoldB,

was meinst du mit Reihenfolge beachtet? ich habe alle schritte wie in LiveConfig Dialog vorgegeben durchgeführt.
Ich erhalte keinerlei Fehlermeldungen am Server, nur der CLient erhält halt das Intermediate-Zertifikat nicht.

Laut StartSSL soll man CA und sub.class2 (Intermediate-Zertifikat) beim Server hinterlegen, das tat ich dann auch.

Code

root@server:/home/sr# gnutls-cli ssldomain.com
Resolving 'ssldomain.com'...
Connecting to '1xx.7x.xx.xxx:443'...
- Certificate type: X.509
 - Got a certificate list of 2 certificates.
 - Certificate[0] info:
  - subject `2.5.4.13=#13106466634f3866689f4b35427762423230,C=DE,ST=Hamburg,L=Hamburg,O=Stefan,CN=ssldomain.com,EMAIL=info@ssldomain.com', issuer `C=IL,O=StartCom Ltd.,OU=Secure Digital Certificate Signing,CN=StartCom Class 2 Primary Intermediate Server CA', RSA key 4096 bits, signed using RSA-SHA1, activated `2013-04-13 06:44:41 UTC', expires `2015-04-14 16:26:13 UTC', SHA-1 fingerprint `e995cddb1b12ed3cex1378a2f8ae672d5499b8c5'
 - Certificate[1] info:
  - subject `C=IL,O=StartCom Ltd.,OU=Secure Digital Certificate Signing,CN=StartCom Certification Authority', issuer `C=IL,O=StartCom Ltd.,OU=Secure Digital Certificate Signing,CN=StartCom Certification Authority', RSA key 4096 bits, signed using RSA-SHA1, activated `2006-09-17 19:46:36 UTC', expires `2036-09-17 19:46:36 UTC', SHA-1 fingerprint `3e2bf7f2031b96f38ce6c4d8a85d3e2d58476a0f'
- The hostname in the certificate matches 'ssldomain.com'.
- Peer's certificate issuer is unknown
- Peer's certificate is NOT trusted
- Version: TLS1.2
- Key Exchange: RSA
- Cipher: ARCFOUR-128
- MAC: SHA1
- Compression: NULL
- Handshake was completed


- Simple Client Mode:


- Peer has closed the GnuTLS connection

Alles anzeigen

kk · 26. Mai 2013

Wenn Sie die Zwischenzertifikate erst nachträglich eingefügt haben (also nachdem Sie das Zertifikat bereits für irgendeinen Service im LiveConfig eingerichtet haben), dann lassen Sie beim jeweiligen Dienst bitte die Konfigurationsdateien noch mal neu erzeugen (das geht immer ganz einfach, indem Sie irgendeine Einstellung bearbeiten und auch "speichern" klicken - dabei wird dann auch das Zertifikat-, Key- und Intermediate-Dateien aktualisiert).

Zitat

- Certificate[0] info: - subject `2.5.4.13=#13106466634f3866689f4b35427762423230,C=DE,ST=Hamburg,L=Hamburg,O=Stefan,CN=ssldomain.com,EMAIL=info@ssldomain.com', issuer `C=IL,O=StartCom Ltd.,OU=Secure Digital Certificate Signing,CN=StartCom Class 2 Primary Intermediate Server CA', RSA key 4096 bits, signed using RSA-SHA1, activated `2013-04-13 06:44:41 UTC', expires `2015-04-14 16:26:13 UTC', SHA-1 fingerprint `e995cddb1b12ed3cex1378a2f8ae672d5499b8c5'
- Certificate[1] info: - subject `C=IL,O=StartCom Ltd.,OU=Secure Digital Certificate Signing,CN=StartCom Certification Authority', issuer `C=IL,O=StartCom Ltd.,OU=Secure Digital Certificate Signing,CN=StartCom Certification Authority', RSA key 4096 bits, signed using RSA-SHA1, activated `2006-09-17 19:46:36 UTC', expires `2036-09-17 19:46:36 UTC', SHA-1 fingerprint `3e2bf7f2031b96f38ce6c4d8a85d3e2d58476a0f'

Hier scheint nicht das Intermediate-Zertifikat, sondern das CA-Zertifikat eingetragen zu sein! Das Zwischenzertifikat bei StartCom ist nämlich auf den Namen "StartCom Class 1 Primary Intermediate Server CA" ausgestellt.
Laden Sie also bitte das Zwischenzertifikat von http://www.startssl.com/certs/sub.class1.server.ca.pem herunter und tragen dieses im LiveConfig in der Zertifikatsverwaltung ein. Anschließend aktualisieren Sie (wie eingangs beschrieben) irgendwas bei der Konfiguration der jeweiligen Dienste, damit das neue Zwischenzertifikat übernommen wird.

Viele Grüße

-Klaus Keppler

intrahorst · 26. Mai 2013

Herr Keppler!

Das war es! vielen Vielen Dank

Auf StartCom wird immer gesagt, man muss die CA und das Intermediate Zertifikat nutzen.
Kaum habe ich NUR das Intermediate Zertifikat eingefügt, geht alles! Super Support!

Da weis man wieso man bezahlt! Top.

ps: mein 2. Post ist anscheinend noch nicht Moderiert wurden

Jetzt mitmachen!