download ca certifikate bundle nicht möglich

[Frank]

Frohes Neues an alle,

ich habe einen aktuellen EIS mit Mail-Paket aufgesetzt.
Alles außer Fetchmail scheint zu fuktionieren.
Ich kann kein ca certifikat bundle herunterladen.
Der download wird angestoßen, aber es werden keine Certifikate geladen.
Unter manage certifikate tauchen nur 10 Certifikate auf.

Kann jemand helfen?
Mit bestem Gruß
Frank

[Marcus Röckrath]

Hallo Frank,

Frank wrote:

> ich habe einen aktuellen EIS mit Mail-Paket aufgesetzt.
> Alles außer Fetchmail scheint zu fuktionieren.

Was fiunktioniert an fecthmail nicht?

Was sagt das fetchmail-Log?

Wie sind die Provider in der fetchmail-Sektion konfiguriert?

> Ich kann kein ca certifikat bundle herunterladen.
> Der download wird angestoßen, aber es werden keine Certifikate geladen.
> Unter manage certifikate tauchen nur 10 Certifikate auf.

Du hast also im certs-Menu den zugehörigen Menupunkt gestartet?

Bitte führe das Skript

/var/install/bin/certs-extract-certs-from-ca-bundle

auf dr Konsole aus und poste die Ausgabe.

--
Gruß Marcus
[eisfair-Team]

[Frank Stroeter]

Am 04.01.2024 um 12:19 schrieb Marcus Röckrath:
> Hallo Frank,

Hallo Marcus

> Frank wrote:
>
>> ich habe einen aktuellen EIS mit Mail-Paket aufgesetzt.
>> Alles außer Fetchmail scheint zu fuktionieren.
>
> Was fiunktioniert an fecthmail nicht?

fetchmail ist konfiguriert und gestartet.

> Was sagt das fetchmail-Log?

Server certificate verification error: unable to get local
issuer certificate a
fetchmail: Broken certification chain at: /C=GB/ST=Greater
Manchester/L=Salford/O=Comodo CA Limited/CN=

Habe 4 Commodo Zertifikate von einem älteren EIS "per SCP"
installiert. Danach ruft fetchmail alle eMails ab.
Ein Aktualisieren des bundle geht trotzdem nicht

> Wie sind die Provider in der fetchmail-Sektion konfiguriert?
>
>> Ich kann kein ca certifikat bundle herunterladen.
>> Der download wird angestoßen, aber es werden keine Certifikate geladen.
>> Unter manage certifikate tauchen nur 10 Certifikate auf.
>
> Du hast also im certs-Menu den zugehörigen Menupunkt gestartet?

so ist es

> Bitte führe das Skript
>
> /var/install/bin/certs-extract-certs-from-ca-bundle
>
> auf dr Konsole aus und poste die Ausgabe.

Start downloading CA bundle and extracting certificates ...
SHA256 of old file: 0
Downloading certdata.txt ...
Get certdata with curl!
% Total % Received % Xferd Average Speed Time Time Time
Current
Dload Upload Total Spent Left
Speed
0 0 0 0 0 0 0 0 --:--:-- --:--:--
--:--:-- 0
curl: (60) SSL certificate problem: unable to get local issuer certificate
More details here: https://curl.se/docs/sslcerts.html

curl failed to verify the legitimacy of the server and therefore could not
establish a secure connection to it. To learn more about this situation and
how to fix it, please visit the web page mentioned above.
Failed downloading via HTTPS with curl
Falling back to HTTP
URLs other than HTTPS are disabled by default, to enable use -k
Done.

Danke
Frank

PS.
Das heutige update von certs hat auch nichts gebracht

[Marcus Röckrath]

Hallo Frank,

Installiere perl-mozilla.ca und rufe das das Skript oder den Menupunkt
erneut auf.

--
Gruß Marcus
[eisfair-Team]

[Marcus Röckrath]

Hallo,

Marcus Röckrath wrote:

> Installiere perl-mozilla.ca und rufe das das Skript oder den Menupunkt
> erneut auf.

Geht`s dann auch noch nicht, dann python-ca-bundle installieren und erneut
testen.

--
Gruß Marcus
[eisfair-Team]

[Frank Stroeter]

Am 04.01.2024 um 19:53 schrieb Marcus Röckrath:
> Hallo,

Hallo Marcus

> Marcus Röckrath wrote:
>
>> Installiere perl-mozilla.ca und rufe das das Skript oder den Menupunkt
>> erneut auf.
>
> Geht`s dann auch noch nicht, dann python-ca-bundle installieren und erneut
> testen.
>

ich brauche gerade mal Hilfe. Wie installiere ich diese?

Danke
Frank

[Marcus Röckrath]

Hallo Frank,

Frank Stroeter wrote:

>> Geht`s dann auch noch nicht, dann python-ca-bundle installieren und
>> erneut testen.
>>
> ich brauche gerade mal Hilfe. Wie installiere ich diese?

Wie jedes andere eisfair-Paket auch: Entweder über das Paketmenu oder auf
der Kommandozeile mit "eisman install python-ca-bundle"

--
Gruß Marcus
[eisfair-Team]

[Frank Stroeter]

laut Paketmanager ist perl-mozilla.ca bereits installiert.

eisman install perl-mozilla.ca liefert:
error: processing package "perl-mozilla.ca":
error: package not found!
error: installation aborted!

[Marcus Röckrath]

Hallo Frank,

Frank Stroeter wrote:

> laut Paketmanager ist perl-mozilla.ca bereits installiert.

Kann nicht, denn

> eisman install perl-mozilla.ca liefert:
> error: processing package "perl-mozilla.ca":
> error: package not found!
> error: installation aborted!

es heißt ja auch perl-mozilla-ca - Typo von mir.

Letzteres sollte aber als Abhängigkeit von certs drauf sein.

Also mal mit zusätzlicher Installation von python-ca-bundle testen.

--
Gruß Marcus
[eisfair-Team]

[Frank]

Am 04.01.24 um 21:12 schrieb Marcus Röckrath:

> Hallo Frank,
>
> Frank Stroeter wrote:
>
>> laut Paketmanager ist perl-mozilla.ca bereits installiert.
>
> Kann nicht, denn
>
>> eisman install perl-mozilla.ca liefert:
>> error: processing package "perl-mozilla.ca":
>> error: package not found!
>> error: installation aborted!
>
> es heißt ja auch perl-mozilla-ca - Typo von mir.

sorry hab ich übersehen heist natürlich
perl-mozilla-ca ist bereits installiert.

>
> Letzteres sollte aber als Abhängigkeit von certs drauf sein.
>
> Also mal mit zusätzlicher Installation von python-ca-bundle testen.

python-ca-bundle ist auch installiert - Fehler bleibt

[Marcus Röckrath]

Hallo Frank,

Frank wrote:

>> Letzteres sollte aber als Abhängigkeit von certs drauf sein.
>>
>> Also mal mit zusätzlicher Installation von python-ca-bundle testen.
>
> python-ca-bundle ist auch installiert - Fehler bleibt

Bitte ersetze

my $curl = `curl -V`;

durch

my $curl = `curl -V -k`;

in

/var/install/bin/certs-download-mozilla-ca-bundle.pl
/usr/bin/mk-ca-bundle.pl
/usr/lib/perl5/vendor_perl/5.30.1/Mozilla/mk-ca-bundle.pl

Müsste jeweils Zeile (ca.) 132 sein.

PS: Ich bin keine Freund der Installation dieses Riesenbundles sein, weil
das auf Zeit immer wieder Probleme mit den atjobs zur CRL-Aktualisierung
macht.

--
Gruß Marcus
[eisfair-Team]

[Marcus Röckrath]

Hallo Frank,

Marcus Röckrath wrote:

> Bitte ersetze
>
> my $curl = `curl -V`;
>
> durch
>
> my $curl = `curl -V -k`;
>
> in
>
> /var/install/bin/certs-download-mozilla-ca-bundle.pl
> /usr/bin/mk-ca-bundle.pl
> /usr/lib/perl5/vendor_perl/5.30.1/Mozilla/mk-ca-bundle.pl
>
> Müsste jeweils Zeile (ca.) 132 sein.

Fascle Zeile. kannst du rückgängig machen, es müsste jeweils ca. Zeile 312
sein:

Ist:

my @out = `curl -w %{response_code} $proto $quiet -o "$txt" "$url"`;

Soll:

my @out = `curl -k -w %{response_code} $proto $quiet -o "$txt" "$url"`;

--
Gruß Marcus
[eisfair-Team]

[Jürgen Pfautsch]

Moin.
Ich hatte den gleichen Fehler, mit der Lösung unten werden die Zertifikate
geladen.
Mich wundert nur, daß es noch nicht den Weg in die Produktion geschafft hat,
die Meldung ist ja schon über einen Monat alt ;-)

Danke
Jürgen


"MarcusRöckrath" schrieb im Newsbeitrag
news:kvq7da...@mid.individual.net...

[Marcus Röckrath]

Hallo Jürgen,

Jürgen Pfautsch wrote:

> Ich hatte den gleichen Fehler, mit der Lösung unten werden die Zertifikate
> geladen.
> Mich wundert nur, daß es noch nicht den Weg in die Produktion geschafft
> hat, die Meldung ist ja schon über einen Monat alt ;-)

>> my $curl = `curl -V`;
>>
>> durch
>>
>> my $curl = `curl -V -k`;

Das war eher als schneller Hack gemeint.

Besser ist es, das für hg.mozilla.org notwendige Root-Zertifikat zu
installieren, dann funktioniert es auch ohne "-k" (insecure).

Auf
https://www.eisfair.org/doku.php?id=eisfair:hilfe:howtos:zertifikate:mozillabundle
habe ich vor kurzem mal die Mozilla-Sammlung hinterlegt. Gehe zu
DigiCert_Global_Root_G2.pem, klappe das auf und kopiere den Inhalt des
Kasten in eine die Datei
namens /var/certs/ssl/certs/DigiCert_Global_Root_G2.pem.

Rufe dann im certs-Menu das Rehashing auf.

Nun sollte auch der gesicherte Download funktionieren.

Download des Zertifikates:

https://de.ssl-tools.net/subjects/39d28b71fe1d19b65fb3f1288f23bc04595c4395

Ganz unten das mit dem Fingerprint:

df3c­24f9­bfd6­6676­1b26­8073­fe06­d1cc­8d4f­82a4

--
Gruß Marcus
[eisfair-Team]

[Jürgen Pfautsch]

Am 14.02.2024 um 12:00 schrieb Marcus Röckrath:

>>> my $curl = `curl -V`;
>>>
>>> durch
>>>
>>> my $curl = `curl -V -k`;
>
> Das war eher als schneller Hack gemeint.
> Besser ist es, das für hg.mozilla.org notwendige Root-Zertifikat zu
> installieren, dann funktioniert es auch ohne "-k" (insecure).
>
> Auf
> https://www.eisfair.org/doku.php?id=eisfair:hilfe:howtos:zertifikate:mozillabundle
> habe ich vor kurzem mal die Mozilla-Sammlung hinterlegt. Gehe zu
> DigiCert_Global_Root_G2.pem, klappe das auf und kopiere den Inhalt des
> Kasten in eine die Datei
> namens /var/certs/ssl/certs/DigiCert_Global_Root_G2.pem.
>
> Rufe dann im certs-Menu das Rehashing auf.
>
> Nun sollte auch der gesicherte Download funktionieren.
>
> Download des Zertifikates:
>
> https://de.ssl-tools.net/subjects/39d28b71fe1d19b65fb3f1288f23bc04595c4395

Danke für deine schnelle Antwort.
Das ist dann allerdings leider gar nicht mehr so easy und in der Doku
steht der denkwürdige Satz:
Die Menüpunkte dürften selbsterklärend sein, da sie keinerlei weitere
Eingaben erwarten. Aus diesem Grund wird auf deren Funktion nicht weiter
eingegangen.

Grüße
Jürgen

[Marcus Röckrath]

Hallo Jürgen,

Jürgen Pfautsch wrote:

>> Nun sollte auch der gesicherte Download funktionieren.
>>
>> Download des Zertifikates:
>>
https://de.ssl-tools.net/subjects/39d28b71fe1d19b65fb3f1288f23bc04595c4395
>
> Danke für deine schnelle Antwort.
> Das ist dann allerdings leider gar nicht mehr so easy und in der Doku
> steht der denkwürdige Satz:
> Die Menüpunkte dürften selbsterklärend sein, da sie keinerlei weitere
> Eingaben erwarten. Aus diesem Grund wird auf deren Funktion nicht weiter
> eingegangen.

Mal ganz langsam, denn das ist nicht wirklich schwer; es ist allerdings
geplant, das das certs-Paket Demnächst das Zertifikat mitbringen wird

Habe entsprechende Änderungen am Paket vorbereitet und dem Maintainer
zugeleitet.

1. Downloade (ist der beschriebene Link am Ende obiger URL)

https://de.ssl-tools.net/certificates/df3c24f9bfd666761b268073fe06d1cc8d4f82a4.pem

2. Kopiere die Datei unter Umbenennung nach DigiCert_Global_Root_G2.pem
nach /var/certs/ssl/certs; die Umbennung hat keine technische Gründe, das
Zertifikat funktioniert unter beliebigen Namen, aber so heißt es im Bundle
und entspricht auch dem "Subject" des Zertifikates.

3. Rehashe
Certs menu|Update certs/crl hashes|1 - certificate folder

Nicht machbar?

--
Gruß Marcus
[eisfair-Team]

[Jürgen Pfautsch]

Am 15.02.2024 um 20:45 schrieb Marcus Röckrath:

Hallo Markus,

>> Danke für deine schnelle Antwort.
>> Das ist dann allerdings leider gar nicht mehr so easy und in der Doku
>> steht der denkwürdige Satz:
>> Die Menüpunkte dürften selbsterklärend sein, da sie keinerlei weitere
>> Eingaben erwarten. Aus diesem Grund wird auf deren Funktion nicht weiter
>> eingegangen.
>
> Mal ganz langsam, denn das ist nicht wirklich schwer; es ist allerdings
> geplant, das das certs-Paket Demnächst das Zertifikat mitbringen wird
>
> Habe entsprechende Änderungen am Paket vorbereitet und dem Maintainer
> zugeleitet.

Das ist doch super, vielen Dank!
Ich habe das auch nur geschrieben, weil ich schon so alt bin mich noch
zu erinnern zu glauben, daß dies schon mal so war - am Anfang des
certs-Paketes.

[...]

> Nicht machbar?

Ich habe ja auch nicht von einer Nicht-Machbarkeit geschrieben.
Da ich weiß, wie Eisfair funktioniert, bin ich auch in der Lage, mir die
Hilfe zu suchen, die ich brauche und auch hier zu bekommen.
Es ist aber - wenn du schon fragst - nicht machbar ohne zusätzliche
Erklärungen. Ob der Frank (Fragesteller) dir noch folgen konnte oder
wollte - das weiß nur er noch. Und ich wiederhole mich - das schien mal
anders gewesen zu sein ;-)
Vielen Dank an alle Maintainer, Supporter und Entwickler für die tolle
Arbeit hier an diesem Projekt - und das schon über ganz viele Jahre!
Jürgen

[Marcus Röckrath]

Hallo Jürgen,

Jürgen Pfautsch wrote:

>> Mal ganz langsam, denn das ist nicht wirklich schwer; es ist allerdings
>> geplant, das das certs-Paket Demnächst das Zertifikat mitbringen wird
>>

> Das ist doch super, vielen Dank!
> Ich habe das auch nur geschrieben, weil ich schon so alt bin mich noch
> zu erinnern zu glauben, daß dies schon mal so war - am Anfang des
> certs-Paketes.

IMHO nein; möglich wäre, dass früher aber mal für die Mozilla-Site ein
anderes Root gebraucht wurde und diese aus anderen Gründen zufällig auf dem
System war.

Ich habe es nämlich auch nur "zufällig" auf dem System, weil es das
Root-Zertifikat meines Internetproviders ist.

Ich weiß, dass diese ganze Zertifikatsgeschichte ziemlich undurchsichtig
ist. Automatiken, sofern sie übergreifen funktionieren, birgen immer das
Risiko, dass die umgeleitet ein falsches Zertifikat herunterladen. Jürgen,
Maintainer des mail und certs-Paketes, ist von meinem mail-addon-certs auch
nicht voll überzeugt.

Eigentlich ist es Handarbeit, ein Zertifikat herunterzuladen und erst nach
Prüfung der Downloadquelle, der Fingerprint, ... zu installieren.

Ich glaube, dass manche Programme wie Firefox ihren eigenen
Zertifkatsspeicher mitbringen, weil die Pflege verlässlicher systemweiter
Speicher eben nicht ganz ohne ist.

--
Gruß Marcus
[eisfair-Team]

[Marcus Röckrath]

Hallo,

Marcus Röckrath wrote:

> es ist allerdings geplant, das das certs-Paket Demnächst
> das Zertifikat mitbringen wird

Im neuen certs-Paket ist es nun enthalten.

--
Gruß Marcus
[eisfair-Team]

[Jürgen Pfautsch]

Am 20.02.2024 um 14:09 schrieb Marcus Röckrath:
> Hallo,
>
> Marcus Röckrath wrote:
>
>> es ist allerdings geplant, das das certs-Paket Demnächst
>> das Zertifikat mitbringen wird
>
> Im neuen certs-Paket ist es nun enthalten.

Spitzenmäßig :-)
Jürgen