Thawte CAs im TrustStore - DigiCert

peda · 10. März 2019

Hallo!

Viele Kunden von Symantec, Thawte, GeoTrust und RapidSSL wurden im Vorjahr aufgefordert, ihre Zertifikate zu tauschen, um weiterhin von Google Chrome als sicher eingestuft zu werden. Die neu ausgestellten Zertifikate sind von neuen Intermediate-CAs ausgestellt, die von der DigiCert Global Root signiert sind. Diese relativ neuen Intermediate CAs sind leider nicht im Truststore der aktuellen Mocca-Installation.

https://www.digicert.com/repla…-ssl-tls-certificates-de/

Wäre es möglich, etwa
Thawte RSA CA 2018 (02:5A:8A:EF:19:6F:7E:0D:6C:21:04:B2:1A:E6:70:2B)
zum Standard-Truststore hinzuzufügen? Das Root-Zertifikat DigiCert ist ja bereits enthalten.

Vielen Dank!

LG,
peda

dziegler · 20. März 2019

Danke für den Hinweis.

Das Zertifikat wird beim nächsten Release berücksichtigt und wird zum Standard-Truststore hinzugefügt.

marty · 4. Mai 2019

Wertes Support-Team!

Ich habe mit meiner Bürgerkarte dieses (o.g.) Problem, das dem Zertifikat des von mir beruflich genutzten Portals gesichert mit der Intermediate CA von

Thawte RSA CA 2018 mit Serien-Nummer 02 5A 8A EF 19 6F 7E 0D 6C 21 04 B2 1A E6 70 2B

vom Mocca-Client aus nicht vertraut wird.

An error has occoured upon request processing by the citizen card software:

Error Code: 2010

HTTPS-Binding: Fehler beim Aufbau der TLS-Verbindung.

SV-Online und Finanzonline funktionieren völlig normal.

Gibt es für mich als Endbenutzer eine Möglichkeit, vor Release der neuen Version des Mocca-Clients dieses Zertifikat einzupflegen (hinzufügen des Zertifikats in den systemweiten Schlüsselbund unter Mac OS bzw. Zertifikatsverwalter in Linux und aber auch das simple kopieren der entsprechenden .crt Datei im Verzeichnis $HOME/.mocca/certs/certStore/toBeAdded und/oder $HOME/.mocca/certs/trustStore/ hat leider nicht zum gewünschten Ergebnis geführt.

Falls nicht, gibt es schon ein Release-Datum für die neue Version des Mocca-Clients (mit dem eingepflegten Zertifikat).

Vielen Dank für die Hilfe/Unterstützung!

Code

Auszug aus $HOME/.mocca/logs/webstart.log

10:22:09,318 INFO  smccstal.InfoBoxReadRequestHandler - signing certificate is valid
10:22:09,550 INFO  urldereferencer.HTTPURLProtocolHandlerImpl - Dereferencing URL: 'http://www.a-trust.at/zmr/persb206.xsl'.
10:22:09,742 INFO  binding.HTTPBindingProcessorImpl - Entered State: DATAURL, DataURL=https://portal.linz.gv.at/moa-id-auth/VerifyIdentityLink?pendingid=???????????veraendert??????????????????????????????????????.
10:22:09,855 INFO  iaik.pki - pki: PKITrustManager: No certification path found
10:22:09,856 INFO  binding.HTTPBindingProcessorImpl - Error during dataurl communication.
javax.net.ssl.SSLHandshakeException: java.security.cert.CertificateException: Certificate not valid.
    at sun.security.ssl.Alerts.getSSLException(Alerts.java:192)
    at sun.security.ssl.SSLSocketImpl.fatal(SSLSocketImpl.java:1946)
    at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:316)
    at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:310)
    at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1639)
    at sun.security.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:223)
    at sun.security.ssl.Handshaker.processLoop(Handshaker.java:1037)
    at sun.security.ssl.Handshaker.process_record(Handshaker.java:965)
    at sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:1064)
    at sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1367)
    at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1395)
    at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1379)
    at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:559)
    at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:185)
    at sun.net.www.protocol.https.HttpsURLConnectionImpl.connect(HttpsURLConnectionImpl.java:162)
    at at.gv.egiz.bku.binding.DataUrlConnectionImpl.connect(DataUrlConnectionImpl.java:177)
    at at.gv.egiz.bku.binding.HTTPBindingProcessorImpl.handleDataUrl(HTTPBindingProcessorImpl.java:455)
    at at.gv.egiz.bku.binding.HTTPBindingProcessorImpl.process(HTTPBindingProcessorImpl.java:766)
    at at.gv.egiz.bku.binding.AbstractBindingProcessor.run(AbstractBindingProcessor.java:129)
    at java.util.concurrent.Executors$RunnableAdapter.call(Executors.java:511)
    at java.util.concurrent.FutureTask.run(FutureTask.java:266)
    at at.gv.egiz.bku.binding.BindingProcessorFuture.run(BindingProcessorFuture.java:57)
    at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149)
    at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624)
    at java.lang.Thread.run(Thread.java:748)
Caused by: java.security.cert.CertificateException: Certificate not valid.
    at at.gv.egiz.bku.spring.PKITrustManager.checkServerTrusted(PKITrustManager.java:128)
    at sun.security.ssl.AbstractTrustManagerWrapper.checkServerTrusted(SSLContextImpl.java:992)
    at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1621)
    ... 20 more
10:22:09,857 INFO  binding.HTTPBindingProcessorImpl - Entered State: TRANSFORM.
10:22:09,857 INFO  binding.HTTPBindingProcessorImpl - Entered State: FINISHED.
10:22:09,857 INFO  smccstal.AbstractSMCCSTAL - Processing: class at.gv.egiz.stal.QuitRequest.
10:22:09,857 INFO  smccstal.AbstractSMCCSTAL - Retry #1 of 1.
10:22:09,857 INFO  smccstal.AbstractSMCCSTAL - Got null response from handler, assuming quit
10:22:09,857 INFO  binding.HTTPBindingProcessorImpl - Terminating Bindingprocessor : MIqWptulLrrvw2wILlgibcDBLJrM.
10:22:09,857 INFO  binding.BindingProcessorManagerImpl - Removing BindingProcessor MIqWptulLrrvw2wILlgibcDBLJrM (active:6.834s/age:6.834s).

Alles anzeigen

dziegler · 6. Mai 2019

Hallo,

die aktualisierte Version von Mocca (inklusive aktualisiertem Zertifikat) wird im Laufe des heutigen Tages noch veröffentlicht.

Konkret zur Ihrer Frage:

Grundsätzlich ist Ihre Vorgehensweise richtig. Standardmäßig werden allerdings Zertifikate in den von Ihnen beschriebenen Verzeichnissen ignoriert.

Damit dies nicht mehr passiert müssen Sie in der Konfiguration ($HOME/.mocca/conf/configuration.xml) das Kommentar in den beiden Zeilen( "certDirectory" bzw. "caDirectory") entfernen:

Code

...
  <SSL>
    <!--
      Use alternative directories for the certificate stores
      The example below uses the .mocca user directory
    -->
    <certDirectory>../certs/certStore</certDirectory>
    <caDirectory>../certs/trustStore</caDirectory>
  </SSL>
...

Schöne Grüße

marty · 6. Mai 2019

Sehr geehrter Herr Ziegler!

Vielen Dank für den Release des neuen Mocca Clients und die Hinweise für die Aktivierung in der Konfiguration (hab ich jetzt ja durch den neuen Client nicht ändern müssen, ist aber für künftige Fälle bestimmt hilfreich).

Mit dem neuen Client funktioniert mein Einstieg in das berufliche Portal wie erwartet (getestet unter MacOS und Linux)

Danke und herzliche Grüße