Thunderbird und eigne CA/selfsigned

T

tsk

Member
Moin,

ich habe mir im heimischen Lan einen Mailserver (Dovecot/Postfix/MySQL) installiert. Ich nutze ein Wildcard Zertifikat, welches ich mit meiner eigenen CA gezeichnet habe. Mein CA ist auf Clients und Server installiert.

Ich kann mich auf Clients und Server per telnet und/oder openssl an allen zugelassenen Ports anmelden, und händisch auf Mails zugreifen und auch Mails versenden. Die Logs bleiben dabei unauffällig.

Anders sieht dies mit Thunderbird 31.6.0 aus. Port 143/StartTLS wird als "nicht auf Server zugelassen" gebrandmarkt (Er scheitert nur am Zertifikat, denn über telnet gehts).

Bei IMAPS verbindet er sich mutmaßlich, zeigt aber nur eine leere Inbox. Das Log quillt während dessen über. Erneute Ursache: Zertifikat. Bzw. exakter: Er stolpert über's Zertifikat, und tätigt dann trotzdem eine Login Anfrage mit leerem Username, findet dazu natürlich kein passendes Password und deshalb "Login failed".

Firefox und Chrome arbeiten anstandslos mit dem Serverzertifikat. In Thunderbird habe ich. ergänzend zum systemweiten Import, mein CA unter "Zertifizierungsstellen" importiert. Nachdem dies nichts half, habe ich sogar noch das gesamte Serverzertifikat unter "Server" importiert. Schließlich habe ich im FB noch die OCSP Validierung deaktiviert, und alle Varianten unter "Vertrauen bearbeiten" bei meiner Root_CA durchgespielt.

Jetzt geht mir die Puste aus. Was ist das für ein Mist?
 
Wie schaut Deine CA aus?

Thunderbird wird - wie alle im Internet eingesetzte Software - recht zeitnah an aktuelle Bedrohungen und Exploits angepaßt.

Falls Du Deine CA mit älterer Software oder nach älteren Howtos aufgesetzt hast, kann es sein, daß das nicht mehr paßt.

Dinge, die mir spontan einfallen
  • Schlüssellänge - insbesondere alles kleiner 2048 Bit ist bald tot
  • Algorithmus - MD5 ist tot, SHA1 bald
  • Protokoll - alles bis TLS3 ist tot

Auch gewisse Einträge in der CA (Policy ID, CRL/OSCP Url, Kontaktdaten) könne eine Rolle spielen.
 
So schaut's aus....

Code: 
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: xxxxxxxxxxxxxxxxxxx (0xb95ad1f24abacb61)
    Signature Algorithm: sha1WithRSAEncryption
        Issuer: C=NL, ST=Limburg, L=Vaals, O=TSK Selfsigning CA, CN=TSK Root Certificate/emailAddress=webadmin@unkommod.eu
        Validity
            Not Before: Mar 24 10:18:35 2015 GMT
            Not After : Mar 21 10:18:35 2025 GMT
        Subject: C=NL, ST=Limburg, L=Vaals, O=TSK Selfsigning CA, CN=TSK Root Certificate/emailAddress=webadmin@unkommod.eu
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:ae:84:56:85:4b:fa:73:5a:9d:35:24:50:d1:61:
                    ......
                    c1:76:ba:0e:46:dc:6c:c4:b6:af:40:63:bf:dd:23:
                    ee:c3
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Subject Key Identifier: 
                xxxxx
            X509v3 Authority Key Identifier: 
                keyid:xxxx

            X509v3 Basic Constraints: 
                CA:TRUE
    Signature Algorithm: sha1WithRSAEncryption
         19:10:62:79:52:4d:8b:2d:ba:98:8f:71:a3:35:2a:98:0e:af:
         ......
         95:e5:85:19:bd:9d:b7:75:80:77:47:cf:8e:3b:f3:17:46:fe:
         3b:47:45:56
 
You must log in or register to reply here.
Back
Top