Hintergrundinformationen zur korrekten Konfiguration von SSL-Zertifikatsdateien.

Wir erhalten regelmäßig Anfragen zu Fehlermeldungen im Zusammenhang mit SSL-Zertifikatsproblemen – typischerweise wird gemeldet, dass Ihr Zertifikat nicht vertrauenswürdig ist.

In den meisten Fällen liegt die Ursache darin, dass die Zertifikatsdatei nur das Zertifikat Ihres Servers enthält.

Aufbewahrung Ihres Zertifikats

Wenn Sie Ihre Zertifikatsdateien erhalten, wird Ihnen eine öffentliche Zertifikatsdatei zugestellt.

Wenn Sie Ihre eigene CSR (Certificate Signing Request) erstellt haben, verfügen Sie bereits über die private Schlüsseldatei. Andernfalls erhalten Sie den privaten Schlüssel ebenfalls vom Zertifikatsanbieter.

Der private Schlüssel beginnt mit „—–BEGIN PRIVATE KEY—–“ und endet mit „—–END PRIVATE KEY—–“.

Diese Datei sowie alle anderen Dateien, die diesen privaten Schlüssel enthalten, dürfen unter keinen Umständen weitergegeben oder hochgeladen werden. Sie dürfen ausschließlich auf dem Server konfiguriert werden, den sie schützen soll.

Kein seriöses Tool oder System wird Sie jemals nach Informationen zu privaten Schlüsseln fragen.

So funktioniert es

Wenn ein Client versucht, eine SSL-Sitzung mit einem Server herzustellen, muss das Serverzertifikat über eine Vertrauenskette verifiziert werden. Vom Server erhält der Client das öffentliche Zertifikat (oft auch Endzertifikat genannt) und eine Reihe von Zwischenzertifikaten. Der Client wird nun:

  • Betrachten Sie das Endbenutzerzertifikat. Es wurde von einem Zwischenzertifikat signiert, das in der Zertifikatskette weiter oben steht.
  • Dieses zweite Zertifikat wird wiederum von einer weiteren Zertifizierungsstelle signiert, die in der Kette weiter oben steht.
  • …bis schließlich ein Zertifikat erreicht ist, das von einer Stammzertifizierungsstelle signiert wurde.
  • Der Client sucht in seinem internen Zertifikatsspeicher nach dem Stammzertifizierungsstellenzertifikat. Diese Stammzertifizierungsstellen sind in Windows, macOS, iOS und Android gespeichert. Findet der Client das Stammzertifizierungsstellenzertifikat in seinem Speicher, gilt die Zertifikatskette als gültig.
  • Der Client sendet ein kleines Stück verschlüsselter Daten an den Server. Kann der Server die Daten entschlüsseln, beweist er, dass er tatsächlich den privaten Schlüssel besitzt und Eigentümer des Endbenutzerzertifikats ist.

Warum Zertifikate als nicht vertrauenswürdig erscheinen können

Ihr Server präsentiert das Leaf-Zertifikat, aber Clients kennen nicht alle Zwischenzertifikate. Ohne die Zwischenzertifikate kann der Client die Zertifikatskette nicht überprüfen, und die Verbindung gilt als „nicht vertrauenswürdig“.

Auflösung

Der Server muss die Zwischenzertifikate zusammen mit dem Endzertifikat bereitstellen. Dazu muss die Zertifikatsdatei, die Sie auf dem Server bereitstellen, neben dem Endzertifikat auch die Zwischenzertifikate enthalten.

Passen Sie Ihre Zertifikats-PEM-Datei mit einem Texteditor an und stellen Sie sicher, dass das endgültige Format wie folgt aussieht:

----BEGIN CERTIFICATE-----

[Your Domain/Server (Leaf) Certificate ]

-----END CERTIFICATE-----

-----BEGIN CERTIFICATE-----

[Intermediate CA Certificate]

-----END CERTIFICATE-----

Für Ihre Zertifikatsdatei sind möglicherweise zusätzliche Zwischenzertifikate erforderlich, um die Zertifikatskette zu vervollständigen.

Dateiberechtigungen unter Linux

Stellen Sie sicher, dass Ihre Zertifikatsdateien nach dem Speichern am richtigen Speicherort über die korrekten Berechtigungen verfügen:

sudo chown phonesystem:phonesystem /var/lib/3cxpbx/Bin/nginx/conf/Instance1/*.pem

sudo chmod 640 /var/lib/3cxpbx/Bin/nginx/conf/Instance1/*.pem

Wo sind meine Zwischenzertifikate?

Ihr Zertifikatsanbieter sollte Ihnen alle notwendigen Zwischenzertifikate bereitstellen. Die meisten Anbieter stellen Dateien zur Verfügung, die Sie einfach in Ihr System einfügen können.

Falls Sie diese aus irgendeinem Grund neu erstellen müssen, gibt es verschiedene Online-Tools dafür; ein Beispiel ist https://whatsmychaincert.com/#generate.

Laden Sie niemals Ihre private Schlüsseldatei hoch.

Hinweis zur Einbindung des Stammzertifikats

Die meisten Systemadministratoren fügen das Root-Zertifikat der Einfachheit halber am Ende einer Zertifikats-PEM-Datei hinzu, beachten Sie jedoch folgende Punkte:

  • Es ist in der Regel unnötig; der Zertifikatsspeicher des Clients (typischerweise das Betriebssystem) enthält es bereits vorinstalliert.
  • Wenn der Client das Root-Zertifikat noch nicht besitzt, sollte er dem Server nicht vertrauen, selbst wenn dieser ein Root-Zertifikat sendet.
  • Wenn der Server das Root-Zertifikat bei jedem SSL-Handshake sendet, erhöht dies die Datenmenge jedes neuen Verbindungsaufbaus um 1 bis 2 KB, ohne dass ein funktionaler Vorteil entsteht.

Beteiligen Sie sich an der Diskussion!

Beteiligen Sie sich an der V20-Diskussion in unseren entsprechenden Partner– oder Kundenforen. Folgen Sie uns auf X und LinkedIn, um über Neuigkeiten und neue Funktionen auf dem Laufenden zu bleiben.