Zertifikate wandeln für HTTP-Server

[Markus321]

Hallo zusammen,

ich habe in mein Projekt die Indy-HTTP-Server-Komponente integriert. Um nun HTTPS hinzubekommen brauche ich natürlich ein entsprechendes Zertifikat.

"Kein Problem" habe ich mir gedacht. Du hast ja ein gültiges TC TrustCenter Zertifikat für Deinen Mail-Account. Also habe ich aus Outlook Express heraus das Zertifikat exportiert. Einmal den privaten Schlüssel in ein PFX und dann den öffentlichen in ein DER-codiertes CER.

Um die Beiden nun mit Indy verwenden zu können, war ein wenig Umwandlung notwendig. OpenSSL tut ja gute Dienste. Folgende Umwandlungen habe ich gemacht:

openssl pkcs12 -in export.pfx -nocerts -nodes -out datei.pem
openssl rsa -in export.pem -out server.key
openssl x509 -in export.cer -inform DER -out server.cer -outform PEM

Im Prinzip klappt das alles wunderbar. Beim Aufruf über den Internet Explorer funktioniert HTTPS. Allerdings kommt der Hinweis: "Der auf dem Sicherheitszertifikat angegebene Name ist ungültig oder stimmt nicht mit dem Namen der Seite überein."

Ich habe schon alles ausprobiert: OpenSSL-Parameter geändert, usw. In den Zertifikaten steht auch keine Domain, nur meine E-Mail-Adresse (ist das der Fehler???).

Falls jemand eine rettende Idee hat, wäre ich für jede Hilfe wirklich dankbar!

Vielen Dank im Voraus
Markus

[Carsten Eilers]

Hallo Markus,
ein Zertifikat gilt nur genau für die darin angegebenen Identitäten.
In Deinem Fall für die E-Mail-Adresse. Was ja logisch ist, das es nur für den
Mail-Account ausgestellt wurde und die CA die Webadresse auch gar nicht
kennt.

Entweder Du erstellst ein selbstsigniertes Zertifikat für die Webadresse,
dann kommt immer eine Warnung, dass das Zertifikat nicht von einer
vertrauenswürdigen Instanz ausgestellt wurde o.Ä.. Die Verschlüsselung
funktioniert aber trotzdem.
Oder Du besorgst dir ein Zertifikat für die Webadresse von einer CA,
die von den Browser-Herstellern akzepziert wurde.

MfG
Carsten

[Markus321]

Hallo Carsten,

klingt logisch

Es hätte ja sein können, dass es funktioniert, weil die Domain der E-Mail-Adresse mit der des Web-Servers überein stimmt.

Da werde ich jetzt wohl schauen müssen, wo ich ein Server-Zertifikat (um das geht es ja jetzt wohl) günstig bekomme.

Danke für die Antwort!

Grüße
Markus

[Carsten Eilers]

Hallo Markus,

> Es hätte ja sein können, dass es funktioniert, weil die Domain der
> E-Mail-Adresse mit der des Web-Servers überein stimmt.

Das Zertifikat ist nur für die E-Mail-Adresse. Und nur für die eine, nicht für irgend eine andere oder einen der Server der Domain.
Das ist ungefähr wie beim Personalausweis: Deiner gilt auch nur für dich, und der Rest der Familie braucht, eigene obwohl Nachname und Adresse gleich sind.
Genauso braucht der Server sein eigenes Zertifikat.

> Da werde ich jetzt wohl schauen müssen, wo ich ein Server-Zertifikat (um
> das geht es ja jetzt wohl) günstig bekomme.

Genau.
Im Prinzip kannst Du dir selbst eines ausstellen, bekommst dann aber wie oben schon erwähnt bei jedem Zugriff einmal die Warnung.
Es gibt auch kostenlose Angebote, aber da mußt Du darauf achten, dass das Root-Zertifikat der gewählten CA von den Browserherstellern mitgeliefert wird. Sonst gibt es da auch die Warnung.

> Danke für die Antwort!

Keine Ursache, gern geschehen.

MfG
Carsten