MSX mit eigenen Zertifikaten und iOS Geräte

[dataKEKS 11]

Hallo Kollegen!

 

Sicher bin ich nicht der einzige der auch mal das eine oder auch andere iOS Gerät an einen Exchange mit selbst erstellten Zertifikaten anbinden "darf" weswegen ich hoffe mir hat jemand eine Lösung für mein Problem, aktuell sehe ich die Lösung trotz alle Bemühungen nicht. Alle Geräte mit iOS 12.x und älter bekomme ich problemlos angebunden, mit iOS 13 ist leider Schicht im Schacht und bislang habe ich keine Idee wo mein Fehler liegt.

 

Wir haben aktuell noch einige Exchange 2010 mit eigener CA im Einsatz deren Migration in den nächsten Wochen auf dem Plan steht nur leider bekommen wir da aktuell keine iPhones mehr angebunden.

 

Bislang haben wir das immer so gemacht:

 

- CER der eigenen CA (Windows) aufs neue Gerät übertragen und geladen

- Wechsel in die Einstellungen, Allgemein, Profil und hier das neue Zertifikat annehmen

- Unter Einstellungen, Allgemein, Info ganz unten in den Zertifikatsvertrauenseinstellungen die eigene CA aktiviert

 

Danach konnte ich jedes iOS Gerät problemlos anbinden, mit iOS 13 funktioniert es leider mit dem gleichen Konto und dem gleichen Server nicht mehr - hat jemand eine schlaue Idee woran es krankt?

 

Es kommt bereits in der Einrichtung des Kontos die Meldung Serveridentität kann nicht überprüft werden - die Identität von mail.abc.xyz kann nicht überprüft werden. Leider funktioniert auch die Schaltfläche Details hier überhaupt nicht :-(

 

 

Wäre super wenn jemand mir die Lösung hätte - noch mehr graue Haar mag meine Frau nicht an mir sehen....

 

 

 

Norbert

[NilsK 2.781]

Moin,

 

gib 300 Euro für ein TLS-Zertifikat aus.

 

Gruß, Nils

 

[NorbertFe 1.799]

So teuer ist eigentlich kein Zertifikat der letzten Jahre mehr. Im allgemeinen bewegt man sich irgendwo zwischen 70-170€ wenn man nicht mit lets encrypt hantieren will/kann.

[NilsK 2.781]

Moin,

 

umso besser. (Wobei ich für zwei oder drei Jahre diese Größenordnung im Kopf habe - du meinst pro Jahr, oder?)

Hauptsächlich meine ich auch: Das bisschen Geld, das man sparen könnte, wiegt die Umstände nicht auf.

 

Gruß, Nils

 

[testperson 1.527]

Und wenn es tatsächlich auf jeden Cent ankommt, konfiguriert man alle URLs der vDirs auf autodiscover.<domain.tld> und nimmt ein Zweijahres-Zertifikat für 29€. :-P

 

[dataKEKS 11]

Kaufmänisch bin ich komplett bei euch - auch wenn ich das noch nie gemacht habe mit gekauften Zertifikaten und nicht mal wüsste wo ich da eigentlich ansetzen sollte. Beim aktuellen Fall brauche ich mir da nur keine Hoffnung machen: Mit einer Aussage mit iOS 13 ist das halt so lässt sich der Kunde nicht "abspeisen", der will es immer 200%ig wissen (in wie weit er es auch versteht steht nicht zur Diskussion, er ist ja Kunde und hat damit immer Recht)....

 

Hat denn niemand eine Idee wie das auch ohne Kauf eines Zertifikates realisiert werden kann / woran es mit den aktuellen Zertifikaten klemmen könnte?

 

Norbert

[Dukel 436]

So wie es aussieht (lt. google) gibt es seit iOS13 andere Anforderungen an die eigenen Zertifikate.

https://support.apple.com/de-de/HT210176

Vielleicht fehlt da ein Punkt auf der Liste.

[NorbertFe 1.799]

vor 26 Minuten schrieb NilsK:

Moin,

 

umso besser. (Wobei ich für zwei oder drei Jahre diese Größenordnung im Kopf habe - du meinst pro Jahr, oder?)

Hauptsächlich meine ich auch: Das bisschen Geld, das man sparen könnte, wiegt die Umstände nicht auf.

 

Gruß, Nils

 

nein, ich meine schon für 2 Jahre (meist sinds dann die 27 erlaubten Monate).

[NilsK 2.781]

Moin,

 

na gut, dann aktualisiere ich die Speicherzelle mal.

 

Gruß, Nils

 

[dataKEKS 11]

Also, da es sicher noch mehr Schwaben wie mich gibt hier mal die Lösung in Kurzfassung. Wie ja weiter oben gelistet hat Apple an der Schraube für die Qualität von Zertifikaten weiter gedreht weswegen alte Windows CAs unter Umständen zu lasch eingestellt sind. 

 

Somit war dieser Artikel der Denkanstoß: https://support.apple.com/de-de/HT210176

Darauf hin die aktuelle CA angesehen und folgenden Artikel gefunden: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2012-R2-and-2012/dn771627(v=ws.11)?redirectedfrom=MSDN

Dann im nächsten Schritt noch der Wechsel weg von SHA1 auf SHA256: https://msdn.microsoft.com/en-us/library/windows/desktop/aa375549(v=vs.85).aspx

 

Hat nach einem holprigen Start denn echt noch sauber funktioniert, was halt wie so oft gilt: VORHER SICHERN!!!! Im ersten Anlauf hätte ich ohne Backup echt gelitten gehabt, die nächsten drei Server gingen dann Dank Routine schon deutlich flüssiger von der Hand

[NorbertFe 1.799]

War bestimmt viel preiswerter als ein Zertifikat zu kaufen. :p ;)

[dataKEKS 11]

Na na na, wer wird denn da gleich sarkastisch werden?

 

Spaß bei Seite - für nur einen Server betrachtet gebe ich Dir Recht, aber seh es mal anders rum: Zum einen habe ich wieder einiges zur Thematik Zertifikate gelernt und konnte das gewonnene Wissen gleich noch bei drei anderen Servern und es wiederholen wodurch ich die Gesamtzeit ja quasi auf alle umlegen müsste....

 

Bin ehrlich gesagt froh es gelöst zu haben und mir sicher es beim nächsten Problem (das nächste iOS kommt bestimmt) deutlich schneller in den Griff zu bekommen...

[tesso 360]

Ein öffentliches Zertifikat hättest du für ca. 50€ für ein Jahr bekommen. Und du müsstest dir keine Gedanken machen, wie du das Stammzertifiakt auf die Telefone bekommst.

 

[NorbertFe 1.799]

vor 30 Minuten schrieb dataKEKS:

Na na na, wer wird denn da gleich sarkastisch werden?

 

Spaß bei Seite - für nur einen Server betrachtet gebe ich Dir Recht, aber seh es mal anders rum: Zum einen habe ich wieder einiges zur Thematik Zertifikate gelernt und konnte das gewonnene Wissen gleich noch bei drei anderen Servern und es wiederholen wodurch ich die Gesamtzeit ja quasi auf alle umlegen müsste....

 

Bin ehrlich gesagt froh es gelöst zu haben und mir sicher es beim nächsten Problem (das nächste iOS kommt bestimmt) deutlich schneller in den Griff zu bekommen...

Wenn man was draus lernt ist das gut, trotzdem ist der Fall was für externe Zertifikate (Exchange zumindest). Da kannst du gern so viel argumentieren wie du magst ;)

[testperson 1.527]

vor 29 Minuten schrieb dataKEKS:

Zum einen habe ich wieder einiges zur Thematik Zertifikate gelernt und konnte das gewonnene Wissen gleich noch bei drei anderen Servern und es wiederholen wodurch ich die Gesamtzeit ja quasi auf alle umlegen müsste....

An der Stelle wäre es evtl. eine gute Alternative gewesen sich mit Let's Encrypt zu beschäftigen. Generell kannst du das natürlich immer noch tun und später bei deinen Kunden ausrollen. :)

 

Alleine die Zertifikatskette ohne MDM auf die Devices zu bringen ist ja schon zum Abgewöhnen.