TB verifiziert CAcert-Zertifikat nicht [erl.]

Hallo Jan,

und willkommen im Forum!
Also Thunderbird, in jeder VErsion ab 1.? bis 3.0.3 funktioniert(e) bei mit problemlos mit X.509-Zertifikaten.

Hast du:
- zuerst (!) das Herausgeberzertifikat importiert, und mit Bearbeiten ihm das Vertrauen eingestellt?
- nach dem Import deiner pfx- oder p12-Dateien unter "Ihre Zertifikate" deren Herausgeber exakt mit den Herausgeberzertifikaten verglichen? (Seriennummer!)

Was wird beim Öffnen der eigenen Zertifikate angezeigt? Sind es definitiv S/MIME-Zertifikate?
Was verstehst du unter "verifiziert meine CAcert-Zertifikate nicht"? Thunderbird verifiziert hier nichts!
Das einzige, was TB überprüft ist, ob das Userzertifikat auch mit dem entsprechendenden Herausgeberzertifikat (dessen private Key) signiert wurde. Es wird also exakt das richtige Herausgeberzertifikat benötigt.

Stehen in deinen Kostnix-Zertifikaten die richtigen cn (Name, Vorname) und deine E-Mailadressen drin?

Hast du in den Kontoeinstellungen unter S/MIME-Sicherheit 2x das richtige Zertifikat eingetragen (oder kommst du gar nicht so weit)?

MfG Peter

Hallo Jan,

freut mich, dass dein Problem gelöst werden konnte.
Vielleicht noch einen Denkanstoß zu deiner letzten Frage. (Auch wenn ich genau dieses schon ein Dutzend mal hier geschrieben habe )

Unter "Herausgeber" sind im TB bereits viele gängige Zertifizierungsstellen ("CA", oder auch "Trustcenter" genannt) gelistet, welcher international anerkannt einen sehr hohen Sicherheitsstandard gewährleisten. Dabei geht es nicht nur um die bauliche und organisatorische Sicherheit, welche wirklich mir den Anforderungen an das RZ einer Bank zu vergleichen sind, sondern auch, mit welchem Aufwand und welcher Sicherheit dieses Trustcenter Personen identifiziert und deren Identität bestätigt.
Das Trustcenter bestätigt also mit "seinem guten Namen" (=> seinem Herausgeberzertifikat), dass die im Zertifikat eingetragene Person (der cn) mit "an Sicherheit grenzender Wahrscheinlichkeit" authentisch ist. Dazu musst du dich als Antragsteller einer berechtigten Kontrollperson gegenüber ausweisen und in seinem Beisein unterschreiben. Eine Kopie deines Perso fällt auch noch an.
Im Umkehrschluss kannst du dann mit dem von einem ordentlichen Trustcenter gekauften Zertifikat eine gerichtlich verwertbare elektronische Unterschrift (qualifizierte el. Signatur) unter ein Dokument setzen, welche zum einen bestätigt, dass exakt DU als natürliche und identifizierte Person dieses Dokument unterschrieben hast (=> Authentizität), und dass dieses Dokument auch exakt das ist, welches du unterschrieben hast (=> Integrität). So ganz nebenbei kannst du auch noch verschlüsseln.

Und in jedem gängigen Browser bzw. Mailclient ist dann eine Reihe von Trustcentern bereits eingetragen, welche diese extrem hohen Anforderungen erfüllen. Der Produzent des Programmes übernimmt also die Arbeit dies zu überprüfen und auch diese Verantwortung gegenüber dem Nutzer.

Wenn du also jetzt von einem Trustcenter ein Softwarezertifikat oder eine Chipkarte kaufst, dann musst du lediglich deine eigene Schlüsseldatei importieren bzw. vorher den Chipkartenleser installieren. Die Zertifikate der Mailpartner werden bei allen gängigen Browsern automatisch importiert, wenn du mit denen vorher eine lediglich signierte Mail austauschst.
Auch das Zuordnen der jeweiligen Schlüsseldatei mit der du signieren und entschlüsseln willst zum jeweiligen Mailkonto kann dir kaum ein Assistent abnehmen. Trotzdem dauert das ganze nur wenige Minuten (und ist IMHO viel einfacher als mit GnuPG ...).

Und jetzt kommen wir zu genau deinem Problem!
Wurde von deinem Zertifikatsherausgeber eine Personenidentifikation vorgenommen? Musstest du dich irgendwo ausweisen, ein Protokoll unterschreiben welches ca. 35 Jahre unter hochsicheren Bedingungen gelagert werden muss, und für das ganze dann auch noch angemessen löhnen? Garantiert dein Herausgeber, dass du auch wirklich du bist?
Nein!
Und aus genau diesem Grund darf ein Herausgeber derartiger "Kostnix-Zertifikate" nicht von vornherein in einem Browser oder Mailclient unter "vertrauenswürdege Herausgeber" gelistet sein! Der Empfänger eines von einem derartigen Billigzertifikat unterschriebenen Dokumentes könnte sonst der irrigen Annahme unterliegen, dass die unterzeichnende Person tatsächlich authentisch sein muss. Und das darf nicht sein!

Und genau deswegen musst du dir die Mühe machen, das richtige Herausgeberzertifikat zu suchen, herunterzuladen, manuell zu importieren und (ganz wichtig!) diesem bewusst das Vertrauen auszusprechen. (Ein Browser importiert das Herausgeberzertifikat i.d.R. automatisch, wenn du mit diesem Server eine Verbindung hast. Trotzdem wirst du nach dem Vertrauen gefragt!)
Indem du das bewusst tust, weißt du, dass von diesem Herausgeber keine Personenidentifizierung durchgeführt wurde, eine unterzeichnende Person nicht unbedingt diejenige ist, die im Zertifikat als cn eingetragen ist.
Dieser Aufwand ist also volle Absicht und dient einem guten Zweck, nämlich der Gewährleistung der Sicherheit!

Jetzt kommen wir wieder zurück zur Praxis.
Selbstverständlich ist ein derartiges Kostnix-Zertifikat für die private Mailverschlüsselung mehr als ausreichend. Von der kryptologischen Sicherheit her gibt es keinen Unterschied zwischen einem gekauften (Software-)Zertifikat und einem Kostnix-Exemplar. Bei beiden Varianten erzeugt der Browser des Antragstellers den geheimen Schlüssel und sendet nur den öffentlichen an das Trustcenter (Zertifikats-Request).
Auch das Problem "der Echtheit der Person" darf man nicht so verbissen sehen. Der Mailpartner für die verschlüsselte Mail ist meistens bekannt. Da ruft man sich an und liest sich gegenseitig den Fingerabdruck des Zertifikates vor, und schon sind beide Personen "echt". Dann kann man auch mit ruhigem Gewissen den Haken für das Vertrauen setzen. Oder sogar Firmen geben ihren Fingerprint einfach auf ihrer Webseite an - und signieren Dokumente mit einem Kostnix-Zertifikat. (Zum Leidwesen der etablierten Trustcenter.)

Und es gibt trotzdem noch eine Möglichkeit der Vereinfachung: Wenn ich abends nach meiner Arbeit in einem Trustcenter auf meiner kleinen "Privat-CA" noch für Familie, Freunde, Bekannte und diverse Forenmitglieder (eine ganze Menge ...) S/MIME-Zertifikate herstelle, dann organisiere ich das so, dass im Container der Schlüsseldatei (.pfx oder .p12) auch gleich noch meine Herausgeberzertifikate mit drin sind. Wenn der Nutzer also seinen eigenen Schlüssel importiert, hat er automatisch meine Herausgeberzertifikate importiert. Er muss also nur noch das Vertauen (in mich bzw. meine CA) einstellen. Das nimmt ihm niemand ab ... .

OK?

MfG Peter