Webbox mit SSL Zertifikat

MasterPhil

Hallo Zusamen,

ich würde unsere Webbox gerne mit einem Zertifikat einer Zertifizierungsstelle ausrüsten. Das selbstsignierte Zertifikat wird ja als .PEM ausgegeben. Von der Zertifizierungsstelle erhalte ich ein Zertifikat mit *.crt. Dieses Zertifikat nach Umbenennen nimmt David nicht an. Auch nicht, wenn ich mir die .PEM Datei selbst zusammenfüge aus BEGIN KEY und BEGIN CERT.

Hat jemand die Webbox mit offiziellem Zertifikat am laufen und kann mir hier einen Tipp geben, wie ich das einbinden kann?

Winkler

Haben wir so im Einsatz, allerdings muss man die PEM DAtei selber basteln und die Keys wie folgt reinkopieren:

MasterPhil

Hab das nach deinem Schema so zusammen gesetzt und erhalte nach einem Neustart der Webbox: "error loading certificate tls not available". Setze ich wieder das selbstsignierte Zertifikat ein, funktioniert es wieder.

Winkler

Hast Du die einfach nur in die Webbox.pem reinkopiert oder über den David Administrator installiert?

MasterPhil

Habe über den Editor die Zertifikate geöffnet und quasi "zusammenkopiert". Wie erfolgt die Installation über den Administrator bzw. müssen ja die unterschiedlichen Zertifikatsinhalte in die WEBBOX.PEM kopiert werden, oder?

wlconsult

Im Prinzip ist das schon so, wie es Winkler oben beschrieben hat: Du erstellst mit TLSCERT.EXE ein CRT-Request. Aus der PEM-Datei des CRT-Request schneidest Du mit einem Editor den Abschnitt "-----BEGIN CERTIFICATE REQUEST----- ....... ----- END CERTIFICATE REQUEST----- raus und beantragst damit Dein Zertifikat bei einem Aussteller Deiner Wahl. Den Part mit dem PRIVATE KEY brauchst Du dafür nicht.

Wenn Du Dein Zertifikat hast, dann kopierst Du Dir mit einem Editor den Part "-----BEGIN CERTIFICATE----- ....... -----END CERTIFICATE -----" raus und setzt es in Dein ursprüngliches Certificate Request nach dem Part mit dem PRIVATE KEY ein. Den CERTIFICATE REQUEST-Teil löscht Du.

Das so gebastelte Zertifikat speicherst Du als "WBCERT.PEM" (nicht "WEBBOX.PEM" !) im Verzeichnis \DAVID\APPS\WEBBOX\CODE ab und startest die Webbox anschliessend neu. Wenn es vorher mit Deinem selbstsignierten Zertifikat funktioniert hat, dann sollte das auch sofort funktionieren. Dieses Zertifikat gilt dann für die Webbox, EAS und postlagernden Versand.

Es ist meiner Erfahrung nach nicht notwendig, das Root- und das Intermediate-Zertifikat da auch mit abzuspeichern. Wenn das Zertifikat z.B. von Commodo kommt, reicht die o.a. Vorgehensweise völlig aus. Wenn Du allerdings einen "exotischen" Herausgeber hast, kann es nicht schaden diese Infos zusätzlich mit rein zu packen.

graef-edv

Es gibt auch noch irgendwo den Schalter "Zertifizierungspfad übertragen" oder so ähnlich. (Habe gerade keinen PC in Reichweite)
Das hat bei mir geholfen, als die Webbox das Zwischenzertifikat nicht mit übertragen hat.

Jörg.

MasterPhil

Vielen Dank für die Hilfe. Hat geklappt.

Ich habe den Cert Request erstellt. Bei mir ging das Fenster mit Speichern 2x auf. Dachte das sei ein Bug aber es werden 2 .pem-Dateien angelegt mit private key und cert request. Hab den Request eingereicht und ein Zertifikat erstellt. Das Zertifikat mit dem Editor geöffnet und zum private key (wbcert.pem) hinzugefügt, webbox neu gestartet und hat geklappt.

Gibt es im Hinblick auf SSL noch etwas zu beachten? Unter den Webbox Einstellungen SSL erzwingen aktivieren o. ä.?

*stylistics*

Ja man kann über die davidtls.ini die Einstellungen im Hinblick auf Verschlüsselung anpassen.

Die Datei findet man in der Regel im Windows\Syswow64. bzw dort wo auch die davidtls.dll liegt.

Anbei mal ein Beispiel für den Aufbau:

[Settings]
CipherSuite=HIGH !RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS
SSLv3=no
TLS10=no
TLS11=yes
TLS12=yes
ServerCipherOrder=no

Erklärung CiperSuite = Chiffren Sammlung, hier wird definiert welche benutzt werden oder mit "!" eben nicht verwendet
werden dürfen. Weiter geht es mit den Protokollen, SSLv3 und TLS1.0 diese sollten aus Sicherheitsgründen deaktiviert
werden, nur alte Betriebssystem wie z.b IE unter XP, Windows Mobile bis 8 und Android glaube 4.2 und drunter benötigen SSLv3.
Wenn man also aktuelle Versionen einsetzt reicht TLS1.2 außer für Outlook 2013 über EAS.

CSTC-Uruguay

Zitat von stylistics

....

[Settings]
CipherSuite=HIGH !RC4 !aNULL !eNULL !LOW !3DES !MD5 !EXP !PSK !SRP !DSS
SSLv3=no
TLS10=no
TLS11=yes
TLS12=yes
ServerCipherOrder=no
.....

Ist zwar schon ne Weile her, aber ich hatte die Tage ein Problem mit genau diesen Settings und Tobit konnte mir da nicht weiterhelfen.
Aber genau dort lag das Problem!

Also Danke an stylistics für diese Informationen!

Alles anzeigen

*stylistics*

Gerne

Jetzt mitmachen!