SSL-Zertifkat im IIS installieren....

[Pax 10]

Hallo!

 

Ich bin zu doof wie mir scheint....

Ich hab hier so nen SSL-Zertifikat per Mail bekommen, das ich einbinden soll....

aber der IIS akzeptiert das mit keiner Auswahl... bzw. will er ein Kennwort, was aber bei dem Zertifikat nicht drin ist....

Jemand eine Idee?

 

Gruß

[Pax 10]

war klar.... gerade Beitrag geschrieben und dann die Lösung gefunden.... :D

 

Ich konnte das Zertifikat in meinen User-Zertifikatsspeicher importieren.... was ja nicht ganz das richtige war....

Aber dank MMC mit Computer und User-Zertifkaten drin konnte ich das dann von dem User zum Computer rüberschieben.... :D

Und dann konnte man das auch beim IIS mit dem Zertifikat hinzufügen auswählen.... :)

 

Aber auf sowas muss man erstmal kommen.... :rolleyes:

[ChristianHemker 10]

Hallo,

 

in einem meiner Blogcasts auf http://hemker.blog.de habe ich ein SSL Zertifikat über die IIS Konsole angefordert, die Einbindung eines vorhandenen ist dem sehr ähnlich.

Es handelt sich um den Webcast "Absicherung von OWA mit SSL und SecurID Teil 1"

[Pax 10]

naja zu früh gefreut....

dummerweise ist irgendwie kein Private-Key mit dabei....

bekomme jedenfalls Eventviewer das Event 36869 von Schannel:

Das Zertifikat der Referenz Server für SSL hat keine angehängte Eigenschaft für Privatschlüsselinformationen. Dies kommt häufig vor, wenn ein Zertifikat nicht ordnungsgemäß gesichert wird und anschließend wiederhergestellt wird. Diese Nachricht wird auch bei einer fehlgeschlagenen Zertifikatregistrierung angezeigt.

 

Also ich hab hier folgende Dateien:

domain.csr (-----BEGIN CERTIFICATE REQUEST-----)

domain.key (-----BEGIN RSA PRIVATE KEY-----)

domain.key.secure (-----BEGIN RSA PRIVATE KEY-----)

und einen Key in ner Mail bekommen.... (-----BEGIN CERTIFICATE-----)

 

Das letzte konnte ich importieren.... bei den anderen weigert der sich da irgendwas mit zu machen.... muss ich die konvertieren oder sowas?

[Pax 10]

Also so langsam mag ich SSL nich mehr..... :(

 

Habe das Zertifikat jedenfalls jetzt konvertiert bekommen mit OpenSSL....

 

openssl pkcs12 -export -out zertifikat.p12 -inkey domain.key.secure -in openssl.crt

 

(openssl.crt is das ding was ich in der Mail bekommen hab)

 

Dabei kam dann jedenfalls eine p12-Datei raus, die ich dann auch toll importieren konnte....

 

Nur bekomm ich jetzt den Fehler ID 36870 von Schannel:

A fatal error occurred when attempting to access the SSL <client or server> credential private key. The error code returned from the cryptographic module is 0x80090016.

 

Von einem fehler zum nächsten..... :(

[Pax 10]

OK... reboot tat gut.... :)

Konnte Verbindung herstellen.... :D

 

und ist jetzt auch endlich VerSSLt.... :)

 

Ich würde mla sagen, dass das mit einer Windows-CA einfacher gewesen wäre....

[Christoph35 10]

Mag sein, aber das Zertifikat wäre für externe User nicht vertrauenswürdig gewesen, weil die eure dafür zu installierende Root-CA nicht kennen und damit das Zertifikat nicht zu einer vertrauenswürdigen Root-CA verifiziert werden kann.

 

Christoph

[Pax 10]

naja so ein Problem hab ich jetzt.....

 

Das Handy, was da gepusht werden soll übers SSL meint das Zertifikat wäre ungültig....

Unterstützungscode: 0x80072F0D

 

Der IE meckert nicht, dass etwas nicht in Ordnung wäre....

Opera findets auch OK....

[ChristianHemker 10]

Was war das denn für ein Zertifikat? Eventuell musst du das öffentliche Zertifikat der ausgebenden Root CA in die Liste der vertrauenswürdigen Herausgeber aufnehmen:

 

http://blogs.technet.com/dmelanchthon/archive/2006/04/11/424919.aspx

[Pax 10]

Das ist ein Zertifikat von einer öffentlichen CA.... also bei mir auf dem Rechner funktioniert das ohne das ich irgendwas nachinstalliert habe und das "Handy" kennt diesen Herausgeber auch.....

 

sogar RPC over HTTPS läuft mittlerweile ohne Probleme....

 

wird mir wohl nichts anderes übrig bleiben als das Root-CA-Cert auf dem Handy nochmal zu installieren..... oder sowas....

[ChristianHemker 10]

Schau dir mal den Link an. Das handy muss dem herausgeber vertrauen, sonst wird das SSL Zertifikat des Servers nicht akzeptiert.

[Pax 10]

das Handy vertraut dem.... jedenfalls beim OWA....

Ich kann über HTTPS aufs OWA vom Handy aus ohne Fehler zugreifen.... ist nur bissel doof auf so nem kleinen Bildschirm :D

 

nur das ActiveSync will halt nich.... aber der müsste doch aufs gleiche Zertifikat zugreifen...

[XPhile 10]

Hi dabei fällt mir was ein.

 

Kann ich auch ein Web im IIS über SSL laufen lassen, ohne ein Zertifikat zu haben?

Ob der Browser meckert ist mir wurscht, soll halt nur über eine sichere Verbindung laufen.

 

Danke und Gruß

[Pax 10]

ach ja im Handy kann ich kein Zertifikat installieren, weil mir die Sicherheitsberechtigung dafür fehlen würde.... :rolleyes:

 

Wir haben jedenfalls jetzt erst einmal ein Zertifikat von Thawte bestellt vielleicht geht das besser....

[ChristianHemker 10]

Wenn du keine Zertifikate installieren kannst, kann dad Handy dem Herausgeber des SSL Zertifikats nicht vertrauen. Dadurch wird dem SSL Zertifikat an sich auch nocht vertraut und ActiveSync über HTTPS kann nicht statt finden.

So einfach ist das leider.

 

Man muss also entweder ein Zertifikat für ActiveSync nutzen, dem das Handy automatisch vertraut (das macht ihr ja gerade mit dem kommerziellen Zertifikat) oder die von dir genannten Sicherheitseinstellungen umgehen.

Das soll möglich sein, habe es aber noch nicht probieren können, da ich selbst kein Smartphone zur Verfügung habe.