Probleme mit Gültigkeit der SSL-Zertifikate unter Windows Server

[ChristianB]

@Torbjörn und auch alle anderen die das SSL-Zertifikat von CAcert nutzen.

Ich hatte nach dem Angriff mir das Class3 Zert installiert und da wurde mir auch alles als in Ordnung angezeigt (der Pfad und die Zertifikate waren erfolgreich geprüft worden). Seit gestern allerdings schlägt die Überprüfung des Class3 Zertifikates fehl (ungültige Signatur) als ich es hier auf einem neuen Rechner installieren wollte. Ich ignoriere das zur Zeit und vertraue direkt dem ausgestellten rkn Zertifikat weil ich ja nur die Verschlüsselung der Daten über das Firmennetz erreichen möchte. Ich habe keinen Zugriff mehr auf ein älteres installiertes Zertifikat.

Kann mal bitte jemand der das Class3 Zertifikat vor längerer Zeit in seinen Browser importiert hat nachschauen ob es noch gültig ist und mit dem auf CAcert.org übereinstimmt?

[Torbjörn Klatt]

Also bei mir sieht das Zertifikat folgendermaßen aus:

Ausgestellt für: www.rechenkraft.net
Seriennummer: 00:CA:F2
Ausgestellt von: CAcert Class 3 Root
Ausgestellt am: 25.03.2011
Läuft ab am: 24.03.2013
SHA1-Fingerabdruck: B0:8E:E0:04:29:4F:66:C2:35:60:4B:5E:19:57:67:0A:CD:D4:14:AD
MD5-Fingerabdruck: 45:62:A3:A1:4D:87:C4:C5:85:B8:01:A1:96:D4:57:98

Bei mir habe ich bislang noch keine Probleme.

[ChristianB]

Ich meinte ja auch das CAcert Class 3 Root Zertifikat. Das wird bei mir als fehlerhaft angezeigt und somit ist auch das für http://www.rechenkraft.net ausgestellte Zertifikat nicht vertrauenswürdig weil nicht der ganze Pfad geprüft werden kann.

Edit: Anmerkung, ich arbeite zur Zeit unter Windows, mit Linux habe ich noch gar nichts mit Zertifikaten probiert.

[Torbjörn Klatt]

Oh, sry, das habe ich falsch verstanden.

Also hier dann die Daten des CAcert Root Zertifikats, so wie sie bei mir drin stehen.

Ausgestellt für: www.cacert.org
Seriennummer: 08:A5:35
Ausgestellt von: CA Cert Signing Authority
Ausgestellt am: 14.05.2010
Läuft ab am: 13.05.2012
SHA1-Fingerabdruck: 89:08:8E:9C:43:66:F7:85:F4:6B:06:C2:F7:09:DE:93:F6:20:DA:F3
MD5-Fingerabdruck: B2:15:4B:B7:31:A3:5C:68:56:29:F9:59:8B:86:CB:3B

Alle Angaben ohne Gewähr, da ich mich vertippt haben könnte. Firefox erlaubt es irgendwie nicht, die Fingerabdrücke zu kopieren --- oder ich habe es nicht gefunden.

[ChristianB]

Das ist auch nicht das Zertifikat was ich meinte. Lade dir mal den Class 3 PKI Key von hier (https://www.cacert.org/index.php?id=3) herunter und schaue mal nach ob dir das Zertifikat als gültig angezeigt wird. Bei mir kommt da wie gesagt ein Signaturfehler aber das Ursprungszertifikat (Class 1 Key) ist gültig und bei mir auch installiert. Ich könnte jetzt den Class3 Key einfach installieren und den Fehler ignorieren, dann würde beim aufrufen der RKN.net Seite (und anderen Seiten die Zertifikate von CAcert nutzen) auch keine Fehlermeldung kommen.

Was mich (und auch meinen Dozenten hier) stutzig macht ist der plötzliche Signaturfehler obwohl die Fingerprints stimmen. Wie bereits gesagt hatte ich mich vor ein paar Wochen bereits über die Korrektheit des RKN Zertifikats informiert und da war kein Signaturfehler vorhanden.

[Torbjörn Klatt]

Ich habe jetzt einmal alle CACert Root Zertifikate gelöscht und auch das RKN Zertifikat gelöscht. Dann die CA-Root dinger neu geladen und auch das RKN neu geladen. Bei mir ist alles gültig.

[ChristianB]

Sowas ähnliches haben wir auch gerade gemacht. Auf einem externen System (nicht in unserer aktuellen Schulungsumgebung) werden die Zertifikate auch als gültig angesehen nur auf unseren Schulungssystemen nicht. Das ist sehr komisch und ich muss das heute abend nochmal auf meinem Win7 nachprüfen. Wir gehen mittlerweile von einem Fehler auf den hier verwendeten Windows Server 2003 Rechnern aus, obwohl das natürlich nicht so richtig erklärbar ist.

Edit: Dankeschön Torbjörn für deine Mühen.

[Torbjörn Klatt]

Kann es sein, dass ihr soetwas wie Bluecoat als Proxy installiert habt? Bei meinem alten Arbeitgeber sorgte eben so ein Proxy (um diverse Internetinhalte zu filtern) dafür, dass die Linux-Online-Updates nicht funktionierten, da er jedem .deb-Paket einen zusätzlichen HTML-Header voranstellte, sodass der Linux-Paketmanager es nicht mehr annahm, weil der MD5-Hash verändert war.
Aber wenn ich's mir recht überlege, sollte das im Fall von SSL-Zertifikaten eigentlich nicht möglich sein.

[ChristianB]

Ja wir haben hier einen Proxy der auch ziemlich strikt eingestellt ist und der scheint irgendwas mit den Zertifikaten zu machen. Auf meinem neuen Win7 mit UMTS-Internet (also ohne Proxie) wird das Zertifikat als gültig erkannt. Ich werde das morgen mal auf einem Stick mitnehmen und in das Schulungssystem einspielen.

[ChristianB]

Und hier nun die Lösung die so einfach und wunderbar ist wie so vieles in der Microsoftwelt. Da mir auch das mit Win7 heruntergeladene und überprüfte Zertifikat weiterhin auf meinen Server 2003 als fehlerhaft angezeigt wurde habe ich über eine kurze Googlesuche den Artikel "SHA2 and Windows" bei Microsoft Technet gefunden.
Denn mit Windows 7 wurde mir der Signaturalgorithmus des Class3 Zertifikats als SHA256 angezeigt. Diesen Algorithmus versteht aber der 2003er Server nicht, und auch Windows XP erst ab SP3 wie dem genannten Artikel zu entnehmen ist. Es gibt noch ein paar weitere Einschränkungen die aber eher technischer Natur sind und den normalen Endnutzer nicht betreffen.

Anmerkung: Könnte bitte ein Moderator diese kurze Diskussion zwischen Torbjörn und mir in einen neuen Thread verschieben wo er etwas besser aufgehoben ist?