Re: Icedove spricht nicht mehr mit Dovecot
Am 27.03.2013 08:30, schrieb Pierre Bernhardt:
> Am 25.03.2013 12:08, schrieb Paul Muster:
>> Welche Informationen kann ich noch liefern? Mir ist momentan nicht
>> einmal klar, ob das Problem an a) Icedove, b) Dovecot oder c) OpenSSL
>> (oder GnuTLS?) liegt.
> Der Grund dürfte irgendwie im libnss und icedove liegen, was mir so google
> mitgeteilt hat.
> Das Problem ist, das man den md5 abgeschaltet hat. Ich musste von meinem
> Mailserver auch die ssl-Zertifikate neu erzeugen wobei ich von md5 auch
> sha1 bei der Signierung umschalten musste.
>
> Du kannst das prüfen indem du mal darauf achtest ob bei dem certifikat
> mit openssl x509 -in crt/pem-datei -text was von
>
> Signature Algorithm: md5WithRSAEncryption
>
> da steht.
> Nach der Neusignierung meiner eigenen ca sollte da stehen
> Signature Algorithm: sha1WithRSAEncryption
>
> Danach müsste es mit icedove wieder funktionieren.
Was mir noch aufgefallen ist, auch ich verwende eine ca.crt als selbsterstelltes
root-Zertifikat, welche ich alleine in meine ganzen Clients installiert habe,
so auch in icedove.
Da das schon mit sha1WithRSAEncryption erstellt wurde hat das keine Probleme
gezeigt.
Die Zertifikate vom Mailserver (einer für uwimap und einer für exim4/smtp) hatte
ich dann von der ca zertifizieren lassen und dem uwimap und exim4 vor geworfen.
So gesehen vermute ich, das unser Problem die gleiche Ursache hat.
Eine Fehlermeldung habe ich übrigens nur in der KDE-Benachrichtigungen aus
der Taskleiste von KDE bekommen in der Art, das die Verbindung wegen eines nicht
akzeptierten/unterstützten Verbindungsverfahrens abgelehnt wurde.
Wie oben schon angedeutet, nachdem ich die uwimap/smtp Zertifikate gegen jene
mit sha1 ausgetauscht hatte, waren alle Probleme verschwunden.
Übrigens hatte ich mit clawsmail keine Zugriffsprobleme, so dass ich schon recht
schnell auf icedove bzw. abhängige libraries gekommen bin. So gab es erst
vor ein paar Tagen ein Update von der libnss in dem scheinbar die md5 signatur
deaktiviert wurde. Nunja, nachdem ja schon längere Zeit bekannt ist, das md5
Signaturen durch sha1 Signaturen abgelöst werden sollten, kann man das verstehen.
Auch sha1 Signaturen sind ja nicht mehr so sicher wie ursprünglich mal geglaubt
und auch ich würde diese gerne mal ersetzen, aber leider ist mir noch keine
Alternative bekannt.
MfG...
Pierre
Reply to: