ubuntuusers.de

Moin,

Hosteurope hat offenbar seine Zertifikate getauscht (sagt jedenfalls der Support), und jetzt bekomme ich beim Verbinden zu meiner IMAP-Mailbox mit Evolution folgende Fehlermeldung:

SSL Zertifikatsprüfung von xyz.de:

Aussteller: CN=UTN-USERFirst-Hardware,OU=http://www.usertrust.com,O=The USERTRUST Network,L=Salt Lake City,ST=UT,C=US

Empfänger: CN=*.webpack.hosteurope.de,OU=Comodo PremiumSSL Wildcard,OU=Systems Administration,O=Host Europe GmbH,OID.2.5.4.9=Welserstr. 14,L=Koeln,ST=Nordrhein-Westfalen,postalCode=51149,C=DE

Fingerabdruck: bc:12:26:5b:76:34:15:1e:20:1e:8f:7c:85:80:90:ee

Signatur: SCHLECHT

Möchten Sie es akzeptieren?

Der Fingerabdruck stimmt mit dem auf http://faq.hosteurope.de/index.php?cpid=14018 angegebenen überein. Aber 1. kann ich dieser Seite ja nicht prinzipiell trauen, und 2. ist da die Sache mit der Signatur.

Entweder die Fehlermeldung ist irreführend, oder ich kapier was nicht, oder etwas ist faul.

Kann mich jemand aufklären?

Gruß David

Mal so ins Blaue: alte Zertifikate sind geloescht und die neuen importiert worden? Fehlt ein Root-Zertifikat?

Ah, ich Heini, nein, ich hab das falsch verstanden: die CA-Zertifikate sind (auch?) geändert. Jetzt hab ich eins mal versuchsweise importiert, und die Signatur gilt jetzt als gut.

Nur: es wirkt auf mich doch etwas sonderbar, ein Zertifikat einfach über eine unverschlüsselte Verbindung von einer nicht sicher authentifizierten Seite herunterzuladen. Wie kann ich sicherstellen, daß das Zertifikat wirklich vertrauenswürdig ist?

Nur: es wirkt auf mich doch etwas sonderbar, ein Zertifikat einfach über eine unverschlüsselte Verbindung von einer nicht sicher authentifizierten Seite herunterzuladen.

Dazu wurde doch die Public Key Infrastructure (PKI) erfunden...

Wie kann ich sicherstellen, daß das Zertifikat wirklich vertrauenswürdig ist?

Prinzipiell mit dem Fingerprint. Ist es bei auf X.509 basierenden Zertifikaten nicht so, dass die Root-CA ueber ihr Root-Zertifikat die Echtheit des Client-Zertifikats oder die SubCA bestaetigt? Dann sollte eine gute Signatur doch ausreichen...

Du siehst, meine Kenntnis in diesem Bereich beschränkt sich auf "Zertifikatswarnungen ignoriert man nicht" und "trau ich dem jetzt wirklich?" 😳

Evolution hat beim Import des Zertifikats nicht gemeckert, also ist es gültig von einer Root-CA signiert? Klingt logisch. Das hätte ich vermutlich bei Lektüre eines geeigneten SSL-Artikels wohl auch selbst herausbekommen können, Schande über mich.

Dank und Gruß

David