Serveridentität kann nicht überprüft werden

Stefan3411 · 24. Februar 2022

Hallo,

ich erhalte beim Abruf von Emails die Meldung das die Serveridentität nicht überprüft werden kann. Auf dem PC habe ich die Möglichkeit das Zertifikat anzeigen zu lassen. Aber auch da kann noch nichts wirklich auffälliges feststellen. Das Zertifikat ist von lets encrypt, ist auch nicht abgelaufen.

Hat jemand eine Idee woran das liegen könnte?

Eisenherz · 24. Februar 2022

Prüfe Deinen Server mal hier da sollte Dir eigentlich angezeigt werden, wenn es ein Problem gibt.

Sumeragi · 24. Februar 2022

Die Frage ist auch was im Mailprogramm als Adresse steht. Das Zertifikat kann ja durchaus gültig sein. Wenn man aber imap.domain.de im Client stehen hat, das Zertifikat aber auf server.domain.de läuft, gibt es den gleichen Fehler.

Eisenherz · 24. Februar 2022

Das stimmt, da muss dann schon der Name des Servers stehen, wenn das Zertifikat des Servers genutzt werden soll.

Stefan3411 · 25. Februar 2022

Zitat von Sumeragi

Die Frage ist auch was im Mailprogramm als Adresse steht. Das Zertifikat kann ja durchaus gültig sein. Wenn man aber imap.domain.de im Client stehen hat, das Zertifikat aber auf server.domain.de läuft, gibt es den gleichen Fehler.

Da hab ich dran gedacht. Also daran sollte es nicht liegen.

Dennoch hab ich da wohl ein Problem. Scheinbar findet die Seite gar kein Zertifikat ?

Sumeragi · 25. Februar 2022

Es ist jetzt natürlich schwierig für Außenstehende das Problem korrekt zu analysieren. Auf welchem Port wurde denn da getestet? Da starttls verfügbar scheint, würde ich jetzt auf Port 25 tippen. Das hat nur gar nichts mit dem Abruf von Mails zu tun. Für POP3 wird 995 und IMAP 993 verwendet.

Ich würde dies lieber auf der Shell testen:

Code

echo "" | openssl s_client -servername $server -connect $server:$port | openssl x509 -noout -dates -text

Für $server den Hostnamen und für $port Port 993 oder 995 verwenden. Man kann auch Port 465 für den Versand damit prüfen.

Der Vollständigkeit halber hier auch der Befehl für Port 25 oder 587. Dort muss im nur ein -starttls smtp hinzugefügt werden:

Code

echo "" | openssl s_client -servername $server -starttls smtp -connect $server:$port | openssl x509 -noout -dates -text

Eisenherz · 25. Februar 2022

Schade das man die IP nicht sieht, aber es scheint ja eindeutig ein Problem mit dem Zertifikat zu sein.

Sumeragi · 26. Februar 2022

Zumindest deutet "Ergebnisse unvollständig" auf eine Unstimmigkeit hin. Das kann aber auch daran liegen, wenn das Zertifikat auf server01.domain1.de läuft, die Domain im MX mail.domain.de eingetragen hat. Ich meine dann bemängelt es ssl-tools.de ebenfalls.

Was genau da fehlerhaft sei kann man aber nicht sagen. Auf dem Screenshot sieht man leider nur den mittleren Teil der Ausgabe von https://de.ssl-tools.net/mailservers/ - nämlich die Ausgabe welcher Server für eingehende Mails zuständig ist. Dabei darf man "eingehend" nicht mit "abrufen" verwechseln. Bei "eingehend" ist der qmail-smtpd Dienst auf Port 25 gemeint. Das Abrufen von Mails vom Server erfolgt jedoch über Dovecot. Hier sind also unterschiedliche Dienste zuständig. Bei qmail kann daher alles OK sein und bei Dovecot ein Problem vorliegen.

Die Testseite bringt daher leider bei dem geschilderten Problem nichts.

Stefan3411 · 27. Februar 2022

Hat etwas länger gedauert, sorry. Das werden jetzt ein paar mehr Posts. Die Zeichen sind hier im Forum leider begrenzt.

Ich hoffe ich poste bei den ganzen Keys die da als Ausgabe kommen, nichts sicherheitsrelevantes. Wenn ja, bitte löschen bzw. zensieren.

Zitat von Sumeragi

Code

echo "" | openssl s_client -servername $server -connect $server:$port | openssl x509 -noout -dates -text

Port 993:

Code

depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = HOSTNAME
verify return:1
DONE
notBefore=Feb 20 06:02:48 2022 GMT
notAfter=May 21 06:02:47 2022 GMT
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            04:74:0a:a9:04:e1:ef:52:24:71:66:ec:61:24:40:cd:0e:03
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = R3
        Validity
            Not Before: Feb 20 06:02:48 2022 GMT
            Not After : May 21 06:02:47 2022 GMT
        Subject: CN = HOSTNAME
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:a3:e2:d3:89:82:7a:cd:c5:eb:e8:d9:da:61:ee:
                    5f:8a:1f:b0:3a:0c:10:d1:7f:10:4c:d5:e5:78:33:
                    c4:4b:4a:b3:1c:0d:60:77:09:f6:30:b7:52:10:d4:
                    66:de:1f:93:30:cc:cc:6b:89:5c:fb:e8:bd:eb:c6:
                    3b:03:23:2b:60:e0:fd:69:f0:30:4f:11:39:2f:79:
                    d5:99:1a:52:00:1e:6f:3b:99:3a:d0:9b:06:31:9c:
                    6f:2b:b7:a0:ca:18:6d:bc:31:dd:4e:f4:fd:71:15:
                    75:bc:42:51:1f:92:1d:55:f9:cd:de:14:1c:c9:86:
                    fc:a6:04:51:0c:e7:f8:33:4e:5d:9c:17:f2:58:7e:
                    9a:15:29:33:63:36:d8:6e:a4:c4:89:71:7e:37:85:
                    c3:9b:f7:e2:5d:b0:88:b7:c6:93:5b:e0:05:14:fb:
                    9e:27:cb:93:98:ce:c2:95:5c:68:df:74:32:05:cf:
                    11:a0:3f:90:93:11:17:a3:d4:57:46:ea:ae:11:79:
                    a5:0a:0d:46:9d:e1:2a:05:f5:7d:59:8d:f5:23:fb:
                    4d:ba:3a:31:57:1c:c8:e1:4a:da:d2:52:fe:8b:2f:
                    bf:22:32:83:54:a0:7f:ea:b0:1f:b9:5a:d9:02:65:
                    48:62:d7:34:e1:69:cf:9a:06:3b:1b:20:82:43:14:
                    08:85
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                7C:57:5E:8E:D4:55:B5:3A:03:82:60:62:FD:4E:06:B4:67:DA:21:63
            X509v3 Authority Key Identifier: 
                keyid:14:2E:B3:17:B7:58:56:CB:AE:50:09:40:E6:1F:AF:9D:8B:14:C2:C6

            Authority Information Access: 
                OCSP - URI:http://r3.o.lencr.org
                CA Issuers - URI:http://r3.i.lencr.org/

            X509v3 Subject Alternative Name: 
                DNS:HOSTNAME
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org

            CT Precertificate SCTs: 
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : DF:A5:5E:AB:68:82:4F:1F:6C:AD:EE:B8:5F:4E:3E:5A:
                                EA:CD:A2:12:A4:6A:5E:8E:3B:12:C0:20:44:5C:2A:73
                    Timestamp : Feb 20 07:02:48.605 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:45:02:20:52:CB:53:7A:EA:F6:25:56:7F:12:30:BB:
                                B8:DE:DF:DF:6E:A6:BF:3E:7B:2F:4A:34:95:9D:7F:A5:
                                F5:27:8A:20:02:21:00:8A:17:CE:0B:69:28:36:ED:D5:
                                9D:55:67:F4:B5:2C:93:D7:DE:49:60:AE:0A:09:11:DB:
                                40:4B:11:36:AE:B1:BD
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 46:A5:55:EB:75:FA:91:20:30:B5:A2:89:69:F4:F3:7D:
                                11:2C:41:74:BE:FD:49:B8:85:AB:F2:FC:70:FE:6D:47
                    Timestamp : Feb 20 07:02:48.643 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:46:02:21:00:DF:0E:D5:31:47:BE:DE:14:F2:D9:FD:
                                BB:08:60:48:12:F6:D8:B3:50:2E:A3:C6:A1:7F:71:AA:
                                B4:F8:AD:1D:AE:02:21:00:F1:D8:62:AD:D4:7E:0C:25:
                                30:F9:43:9E:8C:9F:87:71:FA:EC:01:4B:46:4E:36:B6:
                                20:A5:19:53:10:4A:12:3B
    Signature Algorithm: sha256WithRSAEncryption
         59:7c:b4:65:f1:d9:40:24:2f:ed:56:cc:54:22:f5:da:c5:3d:
         63:fa:47:66:78:f0:37:45:28:19:f8:a0:2a:61:2b:2a:85:d6:
         ce:e2:57:f5:90:5c:a7:39:96:3e:41:dd:47:9b:ca:49:7e:1e:
         96:f2:3a:6b:0b:27:7b:fe:ae:94:c3:f0:6e:82:1c:25:c7:33:
         87:23:e4:19:01:1b:3e:94:f9:e5:c0:74:c2:02:d4:b9:36:5f:
         40:29:a4:29:4b:a2:8c:21:a3:53:18:c7:4c:f5:b1:e1:92:a0:
         b5:b0:21:38:c3:82:ce:a6:90:7e:15:49:ce:6f:b6:7c:f6:f3:
         84:d0:be:06:57:e1:b6:f8:7b:4b:14:1b:dd:aa:9a:c3:3a:ff:
         87:09:26:19:52:9f:0d:e0:39:fa:8f:9a:a7:16:f6:23:26:0b:
         fa:7e:f0:32:d3:7e:be:3f:f2:13:01:10:1c:88:83:31:13:9c:
         ab:22:d6:cc:eb:f0:fd:54:b6:d1:76:1b:41:dd:64:fd:59:46:
         ab:ba:1f:45:8b:ca:44:d6:f8:b7:e1:91:94:88:7b:f4:42:24:
         2b:e2:90:27:7f:89:17:ca:65:be:11:86:c6:59:e5:35:13:e9:
         0f:cd:8b:4a:28:ef:84:95:c1:f5:25:8d:4c:5c:4b:74:0e:8c:
         bf:79:4e:1e

Alles anzeigen

Stefan3411 · 27. Februar 2022

Port 995

Code

depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = HOSTNAME
verify return:1
DONE
notBefore=Feb 20 06:02:48 2022 GMT
notAfter=May 21 06:02:47 2022 GMT
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            04:74:0a:a9:04:e1:ef:52:24:71:66:ec:61:24:40:cd:0e:03
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = R3
        Validity
            Not Before: Feb 20 06:02:48 2022 GMT
            Not After : May 21 06:02:47 2022 GMT
        Subject: CN = HOSTNAME
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:a3:e2:d3:89:82:7a:cd:c5:eb:e8:d9:da:61:ee:
                    5f:8a:1f:b0:3a:0c:10:d1:7f:10:4c:d5:e5:78:33:
                    c4:4b:4a:b3:1c:0d:60:77:09:f6:30:b7:52:10:d4:
                    66:de:1f:93:30:cc:cc:6b:89:5c:fb:e8:bd:eb:c6:
                    3b:03:23:2b:60:e0:fd:69:f0:30:4f:11:39:2f:79:
                    d5:99:1a:52:00:1e:6f:3b:99:3a:d0:9b:06:31:9c:
                    6f:2b:b7:a0:ca:18:6d:bc:31:dd:4e:f4:fd:71:15:
                    75:bc:42:51:1f:92:1d:55:f9:cd:de:14:1c:c9:86:
                    fc:a6:04:51:0c:e7:f8:33:4e:5d:9c:17:f2:58:7e:
                    9a:15:29:33:63:36:d8:6e:a4:c4:89:71:7e:37:85:
                    c3:9b:f7:e2:5d:b0:88:b7:c6:93:5b:e0:05:14:fb:
                    9e:27:cb:93:98:ce:c2:95:5c:68:df:74:32:05:cf:
                    11:a0:3f:90:93:11:17:a3:d4:57:46:ea:ae:11:79:
                    a5:0a:0d:46:9d:e1:2a:05:f5:7d:59:8d:f5:23:fb:
                    4d:ba:3a:31:57:1c:c8:e1:4a:da:d2:52:fe:8b:2f:
                    bf:22:32:83:54:a0:7f:ea:b0:1f:b9:5a:d9:02:65:
                    48:62:d7:34:e1:69:cf:9a:06:3b:1b:20:82:43:14:
                    08:85
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                7C:57:5E:8E:D4:55:B5:3A:03:82:60:62:FD:4E:06:B4:67:DA:21:63
            X509v3 Authority Key Identifier: 
                keyid:14:2E:B3:17:B7:58:56:CB:AE:50:09:40:E6:1F:AF:9D:8B:14:C2:C6

            Authority Information Access: 
                OCSP - URI:http://r3.o.lencr.org
                CA Issuers - URI:http://r3.i.lencr.org/

            X509v3 Subject Alternative Name: 
                DNS:HOSTNAME
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org

            CT Precertificate SCTs: 
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : DF:A5:5E:AB:68:82:4F:1F:6C:AD:EE:B8:5F:4E:3E:5A:
                                EA:CD:A2:12:A4:6A:5E:8E:3B:12:C0:20:44:5C:2A:73
                    Timestamp : Feb 20 07:02:48.605 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:45:02:20:52:CB:53:7A:EA:F6:25:56:7F:12:30:BB:
                                B8:DE:DF:DF:6E:A6:BF:3E:7B:2F:4A:34:95:9D:7F:A5:
                                F5:27:8A:20:02:21:00:8A:17:CE:0B:69:28:36:ED:D5:
                                9D:55:67:F4:B5:2C:93:D7:DE:49:60:AE:0A:09:11:DB:
                                40:4B:11:36:AE:B1:BD
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 46:A5:55:EB:75:FA:91:20:30:B5:A2:89:69:F4:F3:7D:
                                11:2C:41:74:BE:FD:49:B8:85:AB:F2:FC:70:FE:6D:47
                    Timestamp : Feb 20 07:02:48.643 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:46:02:21:00:DF:0E:D5:31:47:BE:DE:14:F2:D9:FD:
                                BB:08:60:48:12:F6:D8:B3:50:2E:A3:C6:A1:7F:71:AA:
                                B4:F8:AD:1D:AE:02:21:00:F1:D8:62:AD:D4:7E:0C:25:
                                30:F9:43:9E:8C:9F:87:71:FA:EC:01:4B:46:4E:36:B6:
                                20:A5:19:53:10:4A:12:3B
    Signature Algorithm: sha256WithRSAEncryption
         59:7c:b4:65:f1:d9:40:24:2f:ed:56:cc:54:22:f5:da:c5:3d:
         63:fa:47:66:78:f0:37:45:28:19:f8:a0:2a:61:2b:2a:85:d6:
         ce:e2:57:f5:90:5c:a7:39:96:3e:41:dd:47:9b:ca:49:7e:1e:
         96:f2:3a:6b:0b:27:7b:fe:ae:94:c3:f0:6e:82:1c:25:c7:33:
         87:23:e4:19:01:1b:3e:94:f9:e5:c0:74:c2:02:d4:b9:36:5f:
         40:29:a4:29:4b:a2:8c:21:a3:53:18:c7:4c:f5:b1:e1:92:a0:
         b5:b0:21:38:c3:82:ce:a6:90:7e:15:49:ce:6f:b6:7c:f6:f3:
         84:d0:be:06:57:e1:b6:f8:7b:4b:14:1b:dd:aa:9a:c3:3a:ff:
         87:09:26:19:52:9f:0d:e0:39:fa:8f:9a:a7:16:f6:23:26:0b:
         fa:7e:f0:32:d3:7e:be:3f:f2:13:01:10:1c:88:83:31:13:9c:
         ab:22:d6:cc:eb:f0:fd:54:b6:d1:76:1b:41:dd:64:fd:59:46:
         ab:ba:1f:45:8b:ca:44:d6:f8:b7:e1:91:94:88:7b:f4:42:24:
         2b:e2:90:27:7f:89:17:ca:65:be:11:86:c6:59:e5:35:13:e9:
         0f:cd:8b:4a:28:ef:84:95:c1:f5:25:8d:4c:5c:4b:74:0e:8c:
         bf:79:4e:1e

Alles anzeigen

Stefan3411 · 27. Februar 2022

Port 465

Code

depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = HOSTNAME
verify return:1
DONE
notBefore=Feb 20 06:02:48 2022 GMT
notAfter=May 21 06:02:47 2022 GMT
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            04:74:0a:a9:04:e1:ef:52:24:71:66:ec:61:24:40:cd:0e:03
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = R3
        Validity
            Not Before: Feb 20 06:02:48 2022 GMT
            Not After : May 21 06:02:47 2022 GMT
        Subject: CN = HOSTNAME
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:a3:e2:d3:89:82:7a:cd:c5:eb:e8:d9:da:61:ee:
                    5f:8a:1f:b0:3a:0c:10:d1:7f:10:4c:d5:e5:78:33:
                    c4:4b:4a:b3:1c:0d:60:77:09:f6:30:b7:52:10:d4:
                    66:de:1f:93:30:cc:cc:6b:89:5c:fb:e8:bd:eb:c6:
                    3b:03:23:2b:60:e0:fd:69:f0:30:4f:11:39:2f:79:
                    d5:99:1a:52:00:1e:6f:3b:99:3a:d0:9b:06:31:9c:
                    6f:2b:b7:a0:ca:18:6d:bc:31:dd:4e:f4:fd:71:15:
                    75:bc:42:51:1f:92:1d:55:f9:cd:de:14:1c:c9:86:
                    fc:a6:04:51:0c:e7:f8:33:4e:5d:9c:17:f2:58:7e:
                    9a:15:29:33:63:36:d8:6e:a4:c4:89:71:7e:37:85:
                    c3:9b:f7:e2:5d:b0:88:b7:c6:93:5b:e0:05:14:fb:
                    9e:27:cb:93:98:ce:c2:95:5c:68:df:74:32:05:cf:
                    11:a0:3f:90:93:11:17:a3:d4:57:46:ea:ae:11:79:
                    a5:0a:0d:46:9d:e1:2a:05:f5:7d:59:8d:f5:23:fb:
                    4d:ba:3a:31:57:1c:c8:e1:4a:da:d2:52:fe:8b:2f:
                    bf:22:32:83:54:a0:7f:ea:b0:1f:b9:5a:d9:02:65:
                    48:62:d7:34:e1:69:cf:9a:06:3b:1b:20:82:43:14:
                    08:85
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                7C:57:5E:8E:D4:55:B5:3A:03:82:60:62:FD:4E:06:B4:67:DA:21:63
            X509v3 Authority Key Identifier: 
                keyid:14:2E:B3:17:B7:58:56:CB:AE:50:09:40:E6:1F:AF:9D:8B:14:C2:C6

            Authority Information Access: 
                OCSP - URI:http://r3.o.lencr.org
                CA Issuers - URI:http://r3.i.lencr.org/

            X509v3 Subject Alternative Name: 
                DNS:HOSTNAME
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org

            CT Precertificate SCTs: 
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : DF:A5:5E:AB:68:82:4F:1F:6C:AD:EE:B8:5F:4E:3E:5A:
                                EA:CD:A2:12:A4:6A:5E:8E:3B:12:C0:20:44:5C:2A:73
                    Timestamp : Feb 20 07:02:48.605 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:45:02:20:52:CB:53:7A:EA:F6:25:56:7F:12:30:BB:
                                B8:DE:DF:DF:6E:A6:BF:3E:7B:2F:4A:34:95:9D:7F:A5:
                                F5:27:8A:20:02:21:00:8A:17:CE:0B:69:28:36:ED:D5:
                                9D:55:67:F4:B5:2C:93:D7:DE:49:60:AE:0A:09:11:DB:
                                40:4B:11:36:AE:B1:BD
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 46:A5:55:EB:75:FA:91:20:30:B5:A2:89:69:F4:F3:7D:
                                11:2C:41:74:BE:FD:49:B8:85:AB:F2:FC:70:FE:6D:47
                    Timestamp : Feb 20 07:02:48.643 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:46:02:21:00:DF:0E:D5:31:47:BE:DE:14:F2:D9:FD:
                                BB:08:60:48:12:F6:D8:B3:50:2E:A3:C6:A1:7F:71:AA:
                                B4:F8:AD:1D:AE:02:21:00:F1:D8:62:AD:D4:7E:0C:25:
                                30:F9:43:9E:8C:9F:87:71:FA:EC:01:4B:46:4E:36:B6:
                                20:A5:19:53:10:4A:12:3B
    Signature Algorithm: sha256WithRSAEncryption
         59:7c:b4:65:f1:d9:40:24:2f:ed:56:cc:54:22:f5:da:c5:3d:
         63:fa:47:66:78:f0:37:45:28:19:f8:a0:2a:61:2b:2a:85:d6:
         ce:e2:57:f5:90:5c:a7:39:96:3e:41:dd:47:9b:ca:49:7e:1e:
         96:f2:3a:6b:0b:27:7b:fe:ae:94:c3:f0:6e:82:1c:25:c7:33:
         87:23:e4:19:01:1b:3e:94:f9:e5:c0:74:c2:02:d4:b9:36:5f:
         40:29:a4:29:4b:a2:8c:21:a3:53:18:c7:4c:f5:b1:e1:92:a0:
         b5:b0:21:38:c3:82:ce:a6:90:7e:15:49:ce:6f:b6:7c:f6:f3:
         84:d0:be:06:57:e1:b6:f8:7b:4b:14:1b:dd:aa:9a:c3:3a:ff:
         87:09:26:19:52:9f:0d:e0:39:fa:8f:9a:a7:16:f6:23:26:0b:
         fa:7e:f0:32:d3:7e:be:3f:f2:13:01:10:1c:88:83:31:13:9c:
         ab:22:d6:cc:eb:f0:fd:54:b6:d1:76:1b:41:dd:64:fd:59:46:
         ab:ba:1f:45:8b:ca:44:d6:f8:b7:e1:91:94:88:7b:f4:42:24:
         2b:e2:90:27:7f:89:17:ca:65:be:11:86:c6:59:e5:35:13:e9:
         0f:cd:8b:4a:28:ef:84:95:c1:f5:25:8d:4c:5c:4b:74:0e:8c:
         bf:79:4e:1e

Alles anzeigen

Stefan3411 · 27. Februar 2022

Dann die Ausgaben von

Zitat

Code

echo "" | openssl s_client -servername $server -starttls smtp -connect $server:$port | openssl x509 -noout -dates -text

Port 25

Code

depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = HOSTNAME
verify return:1
250 8BITMIME
DONE
notBefore=Feb 20 06:02:48 2022 GMT
notAfter=May 21 06:02:47 2022 GMT
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            04:74:0a:a9:04:e1:ef:52:24:71:66:ec:61:24:40:cd:0e:03
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = R3
        Validity
            Not Before: Feb 20 06:02:48 2022 GMT
            Not After : May 21 06:02:47 2022 GMT
        Subject: CN = HOSTNAME
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:a3:e2:d3:89:82:7a:cd:c5:eb:e8:d9:da:61:ee:
                    5f:8a:1f:b0:3a:0c:10:d1:7f:10:4c:d5:e5:78:33:
                    c4:4b:4a:b3:1c:0d:60:77:09:f6:30:b7:52:10:d4:
                    66:de:1f:93:30:cc:cc:6b:89:5c:fb:e8:bd:eb:c6:
                    3b:03:23:2b:60:e0:fd:69:f0:30:4f:11:39:2f:79:
                    d5:99:1a:52:00:1e:6f:3b:99:3a:d0:9b:06:31:9c:
                    6f:2b:b7:a0:ca:18:6d:bc:31:dd:4e:f4:fd:71:15:
                    75:bc:42:51:1f:92:1d:55:f9:cd:de:14:1c:c9:86:
                    fc:a6:04:51:0c:e7:f8:33:4e:5d:9c:17:f2:58:7e:
                    9a:15:29:33:63:36:d8:6e:a4:c4:89:71:7e:37:85:
                    c3:9b:f7:e2:5d:b0:88:b7:c6:93:5b:e0:05:14:fb:
                    9e:27:cb:93:98:ce:c2:95:5c:68:df:74:32:05:cf:
                    11:a0:3f:90:93:11:17:a3:d4:57:46:ea:ae:11:79:
                    a5:0a:0d:46:9d:e1:2a:05:f5:7d:59:8d:f5:23:fb:
                    4d:ba:3a:31:57:1c:c8:e1:4a:da:d2:52:fe:8b:2f:
                    bf:22:32:83:54:a0:7f:ea:b0:1f:b9:5a:d9:02:65:
                    48:62:d7:34:e1:69:cf:9a:06:3b:1b:20:82:43:14:
                    08:85
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                7C:57:5E:8E:D4:55:B5:3A:03:82:60:62:FD:4E:06:B4:67:DA:21:63
            X509v3 Authority Key Identifier: 
                keyid:14:2E:B3:17:B7:58:56:CB:AE:50:09:40:E6:1F:AF:9D:8B:14:C2:C6

            Authority Information Access: 
                OCSP - URI:http://r3.o.lencr.org
                CA Issuers - URI:http://r3.i.lencr.org/

            X509v3 Subject Alternative Name: 
                DNS:HOSTNAME
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org

            CT Precertificate SCTs: 
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : DF:A5:5E:AB:68:82:4F:1F:6C:AD:EE:B8:5F:4E:3E:5A:
                                EA:CD:A2:12:A4:6A:5E:8E:3B:12:C0:20:44:5C:2A:73
                    Timestamp : Feb 20 07:02:48.605 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:45:02:20:52:CB:53:7A:EA:F6:25:56:7F:12:30:BB:
                                B8:DE:DF:DF:6E:A6:BF:3E:7B:2F:4A:34:95:9D:7F:A5:
                                F5:27:8A:20:02:21:00:8A:17:CE:0B:69:28:36:ED:D5:
                                9D:55:67:F4:B5:2C:93:D7:DE:49:60:AE:0A:09:11:DB:
                                40:4B:11:36:AE:B1:BD
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 46:A5:55:EB:75:FA:91:20:30:B5:A2:89:69:F4:F3:7D:
                                11:2C:41:74:BE:FD:49:B8:85:AB:F2:FC:70:FE:6D:47
                    Timestamp : Feb 20 07:02:48.643 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:46:02:21:00:DF:0E:D5:31:47:BE:DE:14:F2:D9:FD:
                                BB:08:60:48:12:F6:D8:B3:50:2E:A3:C6:A1:7F:71:AA:
                                B4:F8:AD:1D:AE:02:21:00:F1:D8:62:AD:D4:7E:0C:25:
                                30:F9:43:9E:8C:9F:87:71:FA:EC:01:4B:46:4E:36:B6:
                                20:A5:19:53:10:4A:12:3B
    Signature Algorithm: sha256WithRSAEncryption
         59:7c:b4:65:f1:d9:40:24:2f:ed:56:cc:54:22:f5:da:c5:3d:
         63:fa:47:66:78:f0:37:45:28:19:f8:a0:2a:61:2b:2a:85:d6:
         ce:e2:57:f5:90:5c:a7:39:96:3e:41:dd:47:9b:ca:49:7e:1e:
         96:f2:3a:6b:0b:27:7b:fe:ae:94:c3:f0:6e:82:1c:25:c7:33:
         87:23:e4:19:01:1b:3e:94:f9:e5:c0:74:c2:02:d4:b9:36:5f:
         40:29:a4:29:4b:a2:8c:21:a3:53:18:c7:4c:f5:b1:e1:92:a0:
         b5:b0:21:38:c3:82:ce:a6:90:7e:15:49:ce:6f:b6:7c:f6:f3:
         84:d0:be:06:57:e1:b6:f8:7b:4b:14:1b:dd:aa:9a:c3:3a:ff:
         87:09:26:19:52:9f:0d:e0:39:fa:8f:9a:a7:16:f6:23:26:0b:
         fa:7e:f0:32:d3:7e:be:3f:f2:13:01:10:1c:88:83:31:13:9c:
         ab:22:d6:cc:eb:f0:fd:54:b6:d1:76:1b:41:dd:64:fd:59:46:
         ab:ba:1f:45:8b:ca:44:d6:f8:b7:e1:91:94:88:7b:f4:42:24:
         2b:e2:90:27:7f:89:17:ca:65:be:11:86:c6:59:e5:35:13:e9:
         0f:cd:8b:4a:28:ef:84:95:c1:f5:25:8d:4c:5c:4b:74:0e:8c:
         bf:79:4e:1e

Alles anzeigen

Stefan3411 · 27. Februar 2022

...und Port 587

Code

depth=2 C = US, O = Internet Security Research Group, CN = ISRG Root X1
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = R3
verify return:1
depth=0 CN = HOSTNAME
verify return:1
250 8BITMIME
DONE
notBefore=Feb 20 06:02:48 2022 GMT
notAfter=May 21 06:02:47 2022 GMT
Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            04:74:0a:a9:04:e1:ef:52:24:71:66:ec:61:24:40:cd:0e:03
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C = US, O = Let's Encrypt, CN = R3
        Validity
            Not Before: Feb 20 06:02:48 2022 GMT
            Not After : May 21 06:02:47 2022 GMT
        Subject: CN = HOSTNAME
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:a3:e2:d3:89:82:7a:cd:c5:eb:e8:d9:da:61:ee:
                    5f:8a:1f:b0:3a:0c:10:d1:7f:10:4c:d5:e5:78:33:
                    c4:4b:4a:b3:1c:0d:60:77:09:f6:30:b7:52:10:d4:
                    66:de:1f:93:30:cc:cc:6b:89:5c:fb:e8:bd:eb:c6:
                    3b:03:23:2b:60:e0:fd:69:f0:30:4f:11:39:2f:79:
                    d5:99:1a:52:00:1e:6f:3b:99:3a:d0:9b:06:31:9c:
                    6f:2b:b7:a0:ca:18:6d:bc:31:dd:4e:f4:fd:71:15:
                    75:bc:42:51:1f:92:1d:55:f9:cd:de:14:1c:c9:86:
                    fc:a6:04:51:0c:e7:f8:33:4e:5d:9c:17:f2:58:7e:
                    9a:15:29:33:63:36:d8:6e:a4:c4:89:71:7e:37:85:
                    c3:9b:f7:e2:5d:b0:88:b7:c6:93:5b:e0:05:14:fb:
                    9e:27:cb:93:98:ce:c2:95:5c:68:df:74:32:05:cf:
                    11:a0:3f:90:93:11:17:a3:d4:57:46:ea:ae:11:79:
                    a5:0a:0d:46:9d:e1:2a:05:f5:7d:59:8d:f5:23:fb:
                    4d:ba:3a:31:57:1c:c8:e1:4a:da:d2:52:fe:8b:2f:
                    bf:22:32:83:54:a0:7f:ea:b0:1f:b9:5a:d9:02:65:
                    48:62:d7:34:e1:69:cf:9a:06:3b:1b:20:82:43:14:
                    08:85
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Subject Key Identifier: 
                7C:57:5E:8E:D4:55:B5:3A:03:82:60:62:FD:4E:06:B4:67:DA:21:63
            X509v3 Authority Key Identifier: 
                keyid:14:2E:B3:17:B7:58:56:CB:AE:50:09:40:E6:1F:AF:9D:8B:14:C2:C6

            Authority Information Access: 
                OCSP - URI:http://r3.o.lencr.org
                CA Issuers - URI:http://r3.i.lencr.org/

            X509v3 Subject Alternative Name: 
                DNS:HOSTNAME
            X509v3 Certificate Policies: 
                Policy: 2.23.140.1.2.1
                Policy: 1.3.6.1.4.1.44947.1.1.1
                  CPS: http://cps.letsencrypt.org

            CT Precertificate SCTs: 
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : DF:A5:5E:AB:68:82:4F:1F:6C:AD:EE:B8:5F:4E:3E:5A:
                                EA:CD:A2:12:A4:6A:5E:8E:3B:12:C0:20:44:5C:2A:73
                    Timestamp : Feb 20 07:02:48.605 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:45:02:20:52:CB:53:7A:EA:F6:25:56:7F:12:30:BB:
                                B8:DE:DF:DF:6E:A6:BF:3E:7B:2F:4A:34:95:9D:7F:A5:
                                F5:27:8A:20:02:21:00:8A:17:CE:0B:69:28:36:ED:D5:
                                9D:55:67:F4:B5:2C:93:D7:DE:49:60:AE:0A:09:11:DB:
                                40:4B:11:36:AE:B1:BD
                Signed Certificate Timestamp:
                    Version   : v1 (0x0)
                    Log ID    : 46:A5:55:EB:75:FA:91:20:30:B5:A2:89:69:F4:F3:7D:
                                11:2C:41:74:BE:FD:49:B8:85:AB:F2:FC:70:FE:6D:47
                    Timestamp : Feb 20 07:02:48.643 2022 GMT
                    Extensions: none
                    Signature : ecdsa-with-SHA256
                                30:46:02:21:00:DF:0E:D5:31:47:BE:DE:14:F2:D9:FD:
                                BB:08:60:48:12:F6:D8:B3:50:2E:A3:C6:A1:7F:71:AA:
                                B4:F8:AD:1D:AE:02:21:00:F1:D8:62:AD:D4:7E:0C:25:
                                30:F9:43:9E:8C:9F:87:71:FA:EC:01:4B:46:4E:36:B6:
                                20:A5:19:53:10:4A:12:3B
    Signature Algorithm: sha256WithRSAEncryption
         59:7c:b4:65:f1:d9:40:24:2f:ed:56:cc:54:22:f5:da:c5:3d:
         63:fa:47:66:78:f0:37:45:28:19:f8:a0:2a:61:2b:2a:85:d6:
         ce:e2:57:f5:90:5c:a7:39:96:3e:41:dd:47:9b:ca:49:7e:1e:
         96:f2:3a:6b:0b:27:7b:fe:ae:94:c3:f0:6e:82:1c:25:c7:33:
         87:23:e4:19:01:1b:3e:94:f9:e5:c0:74:c2:02:d4:b9:36:5f:
         40:29:a4:29:4b:a2:8c:21:a3:53:18:c7:4c:f5:b1:e1:92:a0:
         b5:b0:21:38:c3:82:ce:a6:90:7e:15:49:ce:6f:b6:7c:f6:f3:
         84:d0:be:06:57:e1:b6:f8:7b:4b:14:1b:dd:aa:9a:c3:3a:ff:
         87:09:26:19:52:9f:0d:e0:39:fa:8f:9a:a7:16:f6:23:26:0b:
         fa:7e:f0:32:d3:7e:be:3f:f2:13:01:10:1c:88:83:31:13:9c:
         ab:22:d6:cc:eb:f0:fd:54:b6:d1:76:1b:41:dd:64:fd:59:46:
         ab:ba:1f:45:8b:ca:44:d6:f8:b7:e1:91:94:88:7b:f4:42:24:
         2b:e2:90:27:7f:89:17:ca:65:be:11:86:c6:59:e5:35:13:e9:
         0f:cd:8b:4a:28:ef:84:95:c1:f5:25:8d:4c:5c:4b:74:0e:8c:
         bf:79:4e:1e

Alles anzeigen

Sumeragi · 28. Februar 2022

Zitat von Stefan3411

Ich hoffe ich poste bei den ganzen Keys die da als Ausgabe kommen, nichts sicherheitsrelevantes. Wenn ja, bitte löschen bzw. zensieren.

Wenn man nicht weiß was man postet, sollte man es vielleicht auch nicht unbedacht posten Mit dem Befehl wird der öffentliche Schlüssel des Zertifikats abgefragt. Da gibt es nichts sicherheitskritisches. Dies kann praktisch jeder machen, der den Hostnamen bzw. die IP des Servers hat.

Es scheint jedenfalls überall das gleiche Zertifikat für HOSTNAME eingerichtet zu sein. Die Ausgaben von Port 25, 465 und 587 sind bei diesem Problem irrelevant, da es ja um ein Problem beim Abrufen von Mails geht.

Es kommt das neue LE Root Zertifikat ISRG Root X1 zum Einsatz. Ist der Mail-Client oder das Betriebssystem vielleicht veraltet und unterstützt/kennt dieses Zertifikat nicht? (siehe Kompatibilität)

Ansonsten käme mir noch das Stichwort "Internet Security Suite" in den Sinn. Manche dieser Anwendungen schalten sich, um Mails beim Abruf/Versand auf Gefahren zu prüfen, dazwischen. Das kann auch Fehler in Bezug auf das Zertifikat bzw. die Zertifikatskette verursachen.