Thunderbird Update URLs

    Hallo zusammen,

    ich habe mir vor kurzem eine ordentliche Firewall fürs Heimnetz angeschafft. Diese bringt auch die komplette Funktionsbreite (ATP/IPS/etc) mit.

    Seit dem Deployment beschwert sich der Thunderbird allerdings, dass es keinen Update Check mehr fahren kann:

    Interessant ist auch, dass die Meldung kommt, obwohl bereits die aktuellste Version vorliegt. Vermutlich klappt schon die Abfrage nach der neuesten Version nicht.

    Ich vermute mal, der Thunderbird kommt hier mit der SSL Reencryption von der Firewall nicht klar. Leider habe ich keine URL Liste gefunden, um eine entsprechende Ausnahme pflegen zu können.

    Kennt jemand die Thunderbird Update URLs, die der Thunderbird abfrägt um an die aktuelle Version zu kommen?

    Danke!

    Einmal editiert, zuletzt von TuberPlaysDE (8. Oktober 2022 um 16:06)

    Zitat von TuberPlaysDE

    Kennt jemand die Thunderbird Update URLs, die der Thunderbird abfrägt um an die aktuelle Version zu kommen?

    In meinem TB 91.13 (Linux) finde ich die Schlüssel ('Einstellungen → Allgemein → Konfiguration bearbeiten … → Erweiterte Einstellungen'):[box]

    app.update.url "aus.thunderbird.net"

    app.update.url.details "www.thunderbird.net"

    app.update.url.manual "www.thunderbird.net"

    extensions.update.url "versioncheck.addons.thunderbird.net"[/box]

    Zusätzlich macht TB beim Start aber noch DNS-Abfragen nach:[box]

    location.services.mozilla.com

    ocsp.digicert.com

    status.geotrust.com[/box]

    Starte mal die Fehlerkonsole ('Shift + Strg + J'), vielleicht findest du über die Uhrzeit der nervigen Meldung näheres …

    Zitat von Veteran

    vielleicht findest du über die Uhrzeit der nervigen Meldung näheres

    Danke für den Tipp. Hab tatsächlich was gefunden. Immer mal wieder taucht die Meldung NS_ERROR_ABORT: Certificate issuer is not built-in. auf,

    Interessant ist jedoch, dass kurz bevor die Meldung erscheint eine Anfrage zu mozilla.org gesendet wird

    URL

    https://aus5.mozilla.org/update/6/Thund…ate.xml?force=1

    Hier hätte die Meldung sogar recht. die .org Adresse steht tatsächlich nicht auf den Ausnahmenliste für die SSL Inspection. Diese habe ich mal flux hinzugefügt, allerdings funktioniert der Update Abruf weiterhin nicht (selbe Fehlermeldung wie oben). Wenn die URL in Thundebrird direkt aufgerufen wird, zeigt dieser jedoch an, dass die Verbindung mit Zertifikat passen würde.

    Auch wenn ich die Seite in einer anderen Software auf dem gleichen Rechner öffne ist eindeutig sichtbar, dass sich die Firewall bei der Verbindung bezüglich SSL Verschlüsselung raus hält und das "echte" Zertifikat nicht entschlüsselt hat.

    Zitat von TuberPlaysDE

    Immer mal wieder taucht die Meldung NS_ERROR_ABORT: Certificate issuer is not built-in.

    'openssl s_client -showcerts -connect aus.thunderbird.net:443 -servername aus.thunderbird.net' liefert:[box]

    CONNECTED(00000003)

    depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1

    verify return:1

    depth=1 C = US, O = Let's Encrypt, CN = R3

    verify return:1

    depth=0 CN = thunderbird.net

    verify return:1

    ---

    Certificate chain

    0 s:CN = thunderbird.net

    i:C = US, O = Let's Encrypt, CN = R3

    …

    1 s:C = US, O = Let's Encrypt, CN = R3

    i:C = US, O = Internet Security Research Group, CN = ISRG Root X1

    …

    2 s:C = US, O = Internet Security Research Group, CN = ISRG Root X1

    i:O = Digital Signature Trust Co., CN = DST Root CA X3

    …

    Server certificate

    subject=CN = thunderbird.net

    issuer=C = US, O = Let's Encrypt, CN = R3

    …[/box]

    Vergleiche mal in der Zertifikatsverwaltung:

    Zitat von TuberPlaysDE

    In den Zertifizierungsstellen finde ich bei mir die Digital Signature Trust Co. gar nicht.

    Vermutlich meldet TB deshalb: 'Certificate issuer is not built-in'.

    Hier sind sie sowohl in TB 91.13 als auch in FF 91.13 vorhanden – allerdings sind die Zertifikate schon 2021 abgelaufen.

    Warum sie in der neuen Version fehlen, müßten aber andere genauer analysieren …

    Diese Update-Meldung kann eine ganz andere Ursache haben. Es gibt hier eine Reihe anderer Beiträge dazu. Um einen geblockten URL auszuschließen, einfach mal sniffen.

    Bei dem Zertifikat bist du vermutlich auf die falsche Spur geführt worden. Allein, dass es abgelaufen ist, ist ein deutlicher Hinweis, dass es gar nicht benutzt wird.

    Zitat

    Wir nutzen die X1-, X2-, X3-, und X4-Zwischenzertifikate nicht mehr.

    Quelle: https://letsencrypt.org/de/certificates/

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Ich hatte ja das Update von 86.* auf eine höhere TB-Version lange unterbunden.

    Mit der Installation der 102.* habe ich das alles rückgängig gemacht. Bei mir kam dann auch immer wieder dieses Fenster mit der Meldung wie aus Beitrag #1.

    Was ich aber übersehen hatte, war, dass ich in der Fritzbox die aus.thunderbird.net geblockt hatte. Habe ich entfernt und seitdem keine Meldung mehr und das Update über TB funktioniert auch wieder. Der Link in Beitrag #2 führt ja zu einem Thread den ich eröffnet hatte, weil ich auch meinte da fehlt eine Url, die es in älteren Versionen gab, für ein funktionierendes Update.

    2 Mal editiert, zuletzt von X-O (8. Oktober 2022 um 21:45)

    Zitat von X-O

    Mit der Installation der 102.* habe ich das alles rückgängig gemacht.

    Es ist möglich, dass es besser gewesen wäre, damit noch etwas zu warten. Die 102 war ein ziemlicher Griff in den Mistkübel. Inzwischen wurde aber die schlimmsten Dinge gefixt. Insofern hast du vielleicht gerade den richtigen Moment erwischt.

    Zitat von X-O

    Was ich aber übersehen hatte, war, dass ich in der Fritzbox die aus.thunderbird.net geblockt hatte.

    Ja, das ist ein Klassiker, wenn man mehrere Firewalls aktiv hat. Immerhin hat sich damit das unnötige und aufwendige Stöbern in den Zertifikaten erledigt. Also alles richtig gemacht, sofern dir die 102 nicht noch ein paar Grüße schickt.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

    Zitat von Susi to visit

    Bei dem Zertifikat bist du vermutlich auf die falsche Spur geführt worden.

    Stimmt – der richtige Abschnitt in der Zertifikatsverwaltung (in FF 91.13) ist:

    In TB 91.13 fehlt das Zertifikat 'Let's Encrypt Authority X3'.

    Hallo,

    könnte es sein, dass auch die Thunderbird-Entwickler bestimmte Dinge in Thunderbird hardcodiert haben? Es würde genügen, dass sich Thunderbird an einer Stelle nicht des vom Betriebssystem vorgegebenen DNS bedient, sondern explizit einen bestimmten DNS ansprechen will.

    Da kann man sich fragen, warum so etwas gemacht wird. Vermutlich soll das davor schützen, über eine manipulierte DNS-Auflösung an den falschen Download zu geraten. Ob Thunderbird zu diesen Kandidaten gehört, weiß ich bis jetzt freilich nicht mit Sicherheit.

    Da eine UTM Appliance in der Regel das Exklusivrecht für DNS haben will und Port 53 nicht zugelassen wird, damit die UTM nicht umgangen werden kann, knirscht es an der Stelle.

    Siehe Beitrag #6 von @Veteran und ggf. weitere schwer erkennbare DNS-Anfragen.

    Jedenfalls habe ich trotz SSL-Proxy-Ausnahmen ähnliche Autoupdate-Probleme mit Thunderbird. Erst wenn die blockierende Regel für Port 53 aufgehoben wird, funktioniert der Updatemechanismus wie man das erwarten würde. Allerdings ist das Verhalten aktuell etwas differenzierter. Der autonome Update-Check bringt die Meldung aus #1 wie beim OP, der manuelle Weg über "Über Thunderbird" geht. Da könnte ich jetzt auf 102.3.2 upgraden, bleibe aber vorerst weiter bei 91.13.1. Die jeweiligen Updates der 91er wurden allesamt nicht automatisch installiert, obwohl das so eingestellt ist. Ging nur via "Über Thunderbird".

    Gruß

    Sehvornix

    Keyboard not found. Press any key to continue.

    "Woher soll ich wissen, was ich denke, bevor ich lese, was ich schreibe?"

    (Frei nach Edward Forster)

    Ich habe nicht gesucht, aber vielleicht gib es ja irgendwo eine Liste aller benutzen Adressen und der zugehörigen Ports. Ansonsten bleibt das Sniffen. Am besten mit einer ganz frischen Installation. Sonst könnte es langwierig werden. Wenn bestimmte Adressen nur alle x Tage abgefragt werden, müsste man entsprechend lange warten. Beim ersten Start wird der Thunderbird vermutlich zunächst auch diese Adressen gleich aufrufen, insbesondere auch die für das Auto-Update.

    Wer wenig oder gar nichts kann, schiebt's auf den Antiviruskram.

    (Compuzius, Buch 5)

  • Community-Bot 3. September 2024 um 20:50

    Hat das Thema geschlossen.