NAS->CalDAV->Mozilla Sunbird->Meldung: Sicherheitsfehler

[Nasgul71]

Hallo Forengemeinde,

(ich habs schon in einen anderen Forum versucht, leider ohne Lösung)

Die Tage habe ich mein geliebten Kalender Mozilla Sunbird per CalDAV mit meiner DS verbunden.

Hintergrund: automatische Kalendersync. auf mehreren Clients.

Im großen und ganzen habe ich es hin bekommen aber mich stört permanent eine Sicherheitsmeldung, wahrscheinlich weil ich in der DS bei CalDAV https aktiviert habe.



"Sicherheitsfehler: Domainnamen stimmen nicht überein

Sie haben versucht, eine Verbindung mit "xxxxxxxxxx" aufzubauen. Allerdings gehört das
"vorgezeigte" Sicherheitszertifikat "". Es ist möglich, aber unwahrscheinlich, dass jemand
versucht, Ihre Kommunikation mit dieser Website abzufangen.

Wenn Sie vermuten, dass das angezeigte Zertifikat nicht "xxxxxxxxxx" gehört, brechen Sie
die Verbindung ab und benachrichtigen Sie den Admin der Website."


Gibt es eine Lösung, diese Meldung zu deaktivieren?

Ich bitte um Hilfe, danke

 

[Treibwerk]

Ich nehme an mit DS meinst Du Dein NAS und wahrscheinlich eine Synology DiskStation?

Du verwendest wahrscheinlich ein selbstsigniertes Zertifikat (ist jedenfalls standard beim Synology DSM)?

Wenn ja:

1. Du könntest Dir ein Zertifikat kaufen das zu Deinem DNS-Namen passt (kommt vermutlich nicht in Frage, da mit Kosten verbunden).

2. Zertifikat in Thunderbird importieren (Einstellungen -> Erweitert -> Zertifikate).
(Das Zertifikat bekommst du zur Not im Webinterface von DSM unter den DSM Einstellungen)

 

[Nasgul71]

Hallo,

was hat denn Thunderbird damit zu tun? Ich meine den Kalender Sunbird

http://www.mozilla.org/projects/calendar/sunbird/

von Mozilla.


edit: Ja ich meine ein NAS von Synology

 

[Treibwerk]

Ahja, dachte Du meinst Thunderbird mit Lightning - nicht aufmerksam gelesen
Aber auch bei Sunbird gilt das gleiche.

Edit: OK, Einstellungen heissen wohl etwas anders:

Extras -> Einstellungen -> Erweitert -> Verschlüsselung -> Zertifikate anzeigen

Edit2: Habs mir grade nochmal genauer angeschaut. Im Zertifikats-Manager kannst Du im Reiter Server auch rechts unten per "Ausnahme hinzufügen" die Serveradresse angeben und damit den Server erlauben.

PS: Die Meldung kommt weil das genutzte Zertifikat nicht von einer bekannten CA (Certificate Authority) ausgestellt wurde, sondern quasi von Dir selbst. Wobei ich mir ehrlich gesagt nicht mehr 100%ig sicher bin ob die Synology DS von sich aus schon ein Zertifikat erstellt, oder man das evtl. doch erst selbst anstossen muss. Im Synology DSM Webinterface kannst Du den Status des Zertifikats unter den DSM-Einstellungen selbst kontrollieren. Dort kann man auch ein neues Zertifikat erstellen oder importieren.

 

[Nasgul71]

ich glaube, ich habe gerade das original "selbst unterzeichnetes Zertifikat" von Synology zerschossen, weil ich mir ein eigenes erstellt habe.


wie kann ich denn das original Zertifikat wieder herstellen?

 

[Treibwerk]

ich glaube, ich habe gerade das original "selbst unterzeichnetes Zertifikat" von Synology zerschossen, weil ich mir ein eigenes erstellt habe.


wie kann ich denn das original Zertifikat wieder herstellen?

Das sollte eigentlich keine Rolle spielen.
Probier mal den oben beschriebenen Weg mit "Ausnahme hinzufügen". Das sollte auf jeden Fall funktionieren.

 

[Nasgul71]

ich habe im Zertifikats-Manager keinen Reiter Server

Ich nutze die portable Version 0.9 von Sunbird

 

[Treibwerk]

Hmm, dann ich hab die Ursache des Problems vielleicht falsch eingeschätzt. Eventuell stimmt wirklich mit Deinem Zertifikat etwas nicht.
Ich habe auf meinem Synology NAS jetzt auch mal CalDAV aktiviert und die Verbindung mit Sunbird Portable 0.9 versucht. Nach abonnieren des Kalenders kommt bei mir direkt eine Sicherheitsabfrage ob ich dem Zertifikat vertrauen möchte und daraufhin kommt dann auch keine Meldung mehr wir bei Dir.

Ich hatte mir allerdings auch mal nach dieser Anleitung ein neues Zertifikat für meine Domäne erstellt. Das ist aber leider etwas komplizierter und setzt auch voraus dass man sich per Telnet oder SSH aufs NAS schalten kann. Falls das zu aufwändig ist, reicht's vielleicht auch ein Zertifikat über das Webinterface in den DSM-Einstellungen zu generieren.

 

[Nasgul71]

Hmm, dann ich hab die Ursache des Problems vielleicht falsch eingeschätzt. Eventuell stimmt wirklich mit Deinem Zertifikat etwas nicht.
Ich habe auf meinem Synology NAS jetzt auch mal CalDAV aktiviert und die Verbindung mit Sunbird Portable 0.9 versucht. Nach abonnieren des Kalenders kommt bei mir direkt eine Sicherheitsabfrage ob ich dem Zertifikat vertrauen möchte und daraufhin kommt dann auch keine Meldung mehr wir bei Dir.

Das gibts doch net, warum passiert mir immer so ein Scheiß?

Hast du auch https in CalDav aktiviert?

neeee, die Anleitung ist zu kompliziert.

Allerdings habe ich mir gerade überlegt, das Zertifikat meiner 2.DS zu exportieren (ist noch original) und auf meine 1. DS zu importieren. Was hältst du davon?

 

[Treibwerk]

Ja, also im WebDAV ist nur HTTPS erlaubt. HTTP lasse ich erst gar nicht zu, bzw. lasse das auf HTTPS umleiten.

Ich glaube Du brauchst ein neues Zertifikat weil in der Meldung die bei Dir kam folgendes stand:

[...] Allerdings gehört das "vorgezeigte" Sicherheitszertifikat "". [...]

Hinter Sicherheitszertifikat müsste eigentlich der Name des Servers stehen... oder zumindest *irgendwas*

Sprichst Du Dein NAS denn per IP-Adresse an, über den Hostnamen, oder über einen richtigen DNS-Namen (bzw DDNS wie irgendwas.synology.me)?

Edit:

Allerdings habe ich mir gerade überlegt, das Zertifikat meiner 2.DS zu exportieren (ist noch original) und auf meine 1. DS zu importieren. Was hältst du davon?

Hm ich glaube nicht dass das hilft.
Ich denke die Meldung kommt weil Dein Zertifikat keinen Namen bzw. nicht den Namen hat mit dem Du das NAS ansprichst. Also wenn Dein NAS unter meinnas.synology.me erreichbar wäre, müsste genau dieser Name auch im Zertifikat stehen.

Einen Versuch wert wäre vielleicht noch was ich vorhin beschrieben habe unter dem Server Reiter... In der Version 1.01 von Sunbird war der definitiv da

 

[Nasgul71]

ich spreche mein NAS per IP und https an.


also ich kann im DSM http und https parallel aktivieren, mache ich natürlich nicht!

 

[Treibwerk]

Also wenn Du sowieso nur aus Deinem Netzwerk auf den Kalender zugreifen willst, reicht eigentlich auch http... solange Du Port 80 nicht in Deinem Router aufs NAS verweist, kommt ja keiner von aussen dran.

Falls Du aber auch unterwegs z.B. vom Mobiltelefon aus darauf zugreifen willst, brauchst Du einen DDNS Hostnamen - beim NAS in den DDNS Einstellungen kann man sich glaube ich sogar ein Konto bei Synology für <irgendwas>.synology.me registrieren (sonst über https://myds.synology.com).

Dann kannst Du in den DSM-Einstellungen unter Zertifikate ein neues generieren (Beim ersten Feld "Common name" muss dann die Adresse vom Server rein: bla.synology.me - theoretisch kannst Du da auch deine interne IP eintragen wenn der Zugriff nur aus dem LAN erfolgt).

PS: Sunbird wird übrigens nicht mehr weiterentwickelt - nur noch die Thunderbird Erweiterung Lightning. Daher war ich Anfangs auch etwas verwirrt

 

[Nasgul71]

Allerdings habe ich mir gerade überlegt, das Zertifikat meiner 2.DS zu exportieren (ist noch original) und auf meine 1. DS zu importieren. Was hältst du davon?

und was hältst du davon?

 

[Treibwerk]

Darauf hatte ich hier schon im Edit geantwortet

Versuchen kannst Du es natürlich trotzdem. Oder aber wie ich eben schrieb - generier einfach ein neues und achte auf das Feld "Common name".

 

[Nasgul71]

ah ok, hab ich übersehen.

bei dem anderen blick ich nicht durch, dazu bin ich zu doof, eigentlich bin ich ja "Anfänger"

Habe jetzt auch mal die "aktuelle" Version von Sunbird gezogen:

http://portableapps.com/de/apps/office/sunbird_portable

 

[Treibwerk]

Hmm, ja sehe grade wo ich mal auf Importieren klicke, dass das auch den Private Key braucht.. den wirst Du so einfach vom andren Server eh nicht bekommen.

Kannst Du denn mit der aktuellen Sunbird Version unter dem Reiter Server eine Ausnahme für deine IP hinzufügen?

Sonst bleibt nur Zertifikat generieren, oder Fallback auf HTTP...

 

[Nasgul71]

das Zertifikat besteht auch aus 4 Dateien, zum importieren braucht man nur 2 und eine Option.....
man ist das kompliziert. Jetzt darf ich Lotto spielen welche Datei ich beim importieren auswählen soll oder was? ätzend!

 

[Treibwerk]

Ja, SSL ist auch nicht mein Lieblingsthema

Bei Privater Schlüssel müsste es die Datei server.key sein und bei Zertifikat server.crt.
Ich fürchte aber dass das "frische" Zertifikat auch keine Daten hat... ohne einen Namen im Zertifikat wirst Du damit wahrscheinlich die selbe Meldung bekommen.

Ich sag's nochmal: Zertifikat neu generieren und bei Common Name die IP rein. Das funktioniert zwar nur intern, aber müsste das einfachste sein...

 

[Nasgul71]

und was sind die "ca.crt" und ca.key für Dateien?

 

[Treibwerk]

Das sind der Private Key und das Zertifikat der CA (Zertifizerungstelle) des anderen Servers. Damit erstellt der Server die "selbst unterzeichneten" Zertifikate.