SSL Zertifikatverteilung

Hallo Poe,

es tummeln sich hier ein paar, die wesentlich mehr Ahnung von diesen Dingen haben, als ich. Ich hoffe, dass sie sich auch noch zu Wort melden. Dennoch will ich dir meinen ersten Gedanken dazu beschreiben, die dann evtl. korrigiert werden müssen:

ich hoffe, dass es dir nicht möglich ist, ein Zertifikat "irgendwo im Internet so abzulegen", dass Thunderbird es annimmt (ohne dass der Benutzer ihm sein Vertrauen ausgesprochen hat).

Es ist doch so: Thunderbird hat ein paar Zertifikate von CA's vorinstalliert, denen "per default" vertraut wird. Dein Server möchte sich nun Thunderbird gegenüber authentifizieren. Da das Zertifikat, das die Authentizität des Servers sicherstellen soll, von dir selbst erstellt wurde und nicht von einer CA signiert ist, der Thunderbird bereits vertraut, erwarte ich von ihm, dass er "irgendwie meckert".
Würde er nicht "meckern", könnte sich jeder als dein Server ausgeben.

Das ist in meinen Augen ganz simpel "das Trust-Problem", oder bin ich da total auf dem Holzweg?

Also meiner Meinung nach kannst du dein Ziel nur erreichen, indem du dein Zertifikat von einer CA signieren lässt, der Thunderbird bereits vertraut. Bitte nicht übel nehmen: dass das klappt, ist ist hoffentlich utopisch.

Ich finde aber trotzdem klasse, was du da machst und ausprobierst!

[edit:
sorry, das war ja überhaupt nicht die Frage
Ich habe gerade folgendes ausprobiert: neues Profil angelegt, aus einem anderen Profil die Dateien
cert8.db
key3.db
secmod.db
hineinkopiert => Die CA, die ich früher mal hinzugefügt und der ich das Vertrauen ausgesprochen hatte, war auch im Zertifikatsmanager. Detailierter kannst du ja selbst experimentieren (ob auch eine Datei reicht, obs wirklich funktioniert, ...) .
Ist das was für dich?
[/edit]

Grüße, Ulrich

Hallo Pö,

im Prinzip hat Ulrich alles schon gesagt. Und zwar vollkommen korrekt.
Und im Prinzip hast du auch alles richtig gemacht, was dein selbst hergestelltes Zertifikat betrifft.

Wenn du willst, dass von irgend einem Gerät dein Serverzertifikat als vertrauenswürdig anerekannt werden soll, dann muss das Herausgeberzertifikat, welches dein Serverzertifikat signiert hat, in Zertifikatsstore der Clients importiert und diesem das Vertrauen ausgesprochen sein. Und genau da gibt es wieder drei Möglichkeiten:
1.) Du importierst selbst in jedem deiner Clients dein eigenes Herausgeberzertifikat, oder
2.) du nutzt ein von einem bereits integrierten "ebablierten" Trustcenter ein dort hergestelltes Zertifikat, oder
3.) deine Nutzer müssen beim ersten Kontakt eine so genannte "Ausnahmegenehmigung" erteilen.

Jetzt kommt es eben darauf an, mit wievielen Clients oder überhaupt "Publikum" du zu tun hast, und wieviel dir das ganze überhaupt "wert" ist.

zu 1.)
Ich selbst betreibe seit fast 15 Jahren ein heute gar nicht mehr so kleines privates "TrustCenter" und stelle jedes Jahr einige Hundert Zertifikate für alle möglichen Menschen her, die sich Gedanken über ihre Privatsphäre machen. Also in erster Linie für E-Mailverschlüsselung mit S/MIME. Es sind aber auch eine ganze Menge Zertifikate für diverse private Server dabei. Unter anderem auch für alles das, was ich so betreibe.
Und in jedes dieser Geräte habe ich meine beiden Herausgeberzertifikate importiert - und meine "Kunden" (meine Zertifikate gibt es natürlich gratis!) selbstverständlich auch.
Wo ist das Problem, denen die drei Zertifikate + eine kleine Anleitung per Mail zuzuschicken oder zum Download auf der eigenen Webseite anzubieten?
Da die beiden "Mozillen" jeder einen vom Betriebssystem völlig unabhängigen Zertifikatsstore benutzen, müssen die Zertifikate bei Fx und TB also auch alle in diesen importiert werden. Überhaupt hat jedes System so seine Stellen, wo es gerne die Zertifikate hätte. Ich persönlich kenne keine Lösung, wie man diese Zertifikate automatisiert auf die Clients bringen kann. Aber möglich muss es schon irgendwie sein!
Nummer 1 ist also die Lösung für einen kleinen überschaubaren Nutzerkreis.

zu 2.)
Wenn du mit deinem Server so richtig in die Öffentlichkeit gehen willst, dann kommst du nicht um ein Zertifikat von einem etablierten TC herum.
Auch wenn es IMHO nicht ganz sauber ist, stellen einige TrustCenter für "Hinz und Kunz" (also ohne irgend eine Identitätsfeststellung der Antragsteller!) Kostnix-Zertifikate her, welche durch die Tatsache, dass die Herausgeberzertifikate dieser TrustCenter den Weg in die diversen Browser, Mailclients und Betriebssysteme gefunden haben, dann automatisch als "vertraunswürdig" eingestuft sind. Werten möchte ich derartige TC nicht, aber es funktioniert eben. Welches TC Kostnixzertifikate herstellt, findest du mit der Suchmaschine des geringsten Misstrauens heraus.
Ich erlaube mir aber auch zu erwähnen, dass es selbstverständlich auch die Möglichkeit gibt, von einem TC ein Zertifikat zu kaufen - bis hin zu welchen, bei denen du dich vorher ausweisen musst.
Ob sich das alles bei einem internen Mailserver lohnt, wage ich zu bezweifeln.

zu 3.)
Das Aussprechen einer Ausnahmeregelung ist für mich (vor allem, weil die Masse der Nutzer ohne irgend eine Prüfung und ohne überhaupt darüber nachzudenken eine solche ausspricht) die absolut schlechteste Krückenlösung.

losgehts:

Zitat

ch hoffe, dass es dir nicht möglich ist, ein Zertifikat "irgendwo im Internet so abzulegen", ...

... doch schon, wie oben beschrieben.

Zitat

... dass Thunderbird es annimmt (ohne dass der Benutzer ihm sein Vertrauen ausgesprochen hat).

Automatisch nicht, der Nutzer muss es bewusst importieren und ihm das Vertrauen aussprechen. Wir nennen das, "den Vertrauensanker setzen". Aber wie schon gesagt, ich schließe ein wie auch immer geartetes Enrollment nicht aus.

Zitat

Also meiner Meinung nach kannst du dein Ziel nur erreichen, indem du dein Zertifikat von einer CA signieren lässt, der Thunderbird bereits vertraut.

Siehe meinen Punkt 2.
Fast alle TC bieten entweder die komplette Lieferung von privatem Schlüssel und Zertifikat an, oder sie signieren einen vor dir hergestellten und zugeschickten Zertifikatsrequest oder letzteres läuft automatisch bei der Beantragung im Browser ab. In den beiden letzten Fällen hat nur der Antragsteller den privaten Schlüssel.

Zitat

Ich finde aber trotzdem klasse, was du da machst und ausprobierst!

Dem schließe ich mich gerne an!

Und ja, das mit dem Kopieren (Verteilen) der drei genannten Dateien funktioniert natürlich. Nur, die dritte Datei beinhaltet die (Mailkonten- und evtl. auch anderen) Passworte des Nutzers und (zumindest noch) die key3.db ist mit dem gleichen Masterpasswort des Nutzers verschlüsselt. Ergebnis: alle beteiligten Nutzer haben dann das gleiche (allen, bis auf einen) unbekannte Masterpasswort. Ob das gut ist?

MfG Peter

Hallo,

mich persönlich würde eine E-Mail vom Admin mit einer guten Anleitung (Lösung 1, "zu Fuß") jetzt nicht stören.
Das sind ja nur eine Hand voll Schritte, die durchgeführt werden müssen.

Und ich hoffe echt inständig - auch wenn ich deinen Wunsch sehr gut verstehen kann - , dass es nicht möglich ist, dem Zertifikatsmanager eines bestehenden, mit Masterpasswort versehenen Profils ein Zertifikat unterzuschieben.

Grüße, Ulrich