Zertifikatsproblem im Wallet Manager

[AlbiWe]

Hi all,

ich benötige eine SSL-Verbindung und habe dafür gemäß Anleitung im Walletmanager ein selbstsigniertes Zertifikat ausgestellt. Das funktionierte auch alles ganz prächtig. Jetzt soll die Seite online gehen und dafür möchte ich natürlich ein echtes Zertifikat. Leider kommt meine Zertifizierungsstelle mit der Zertifikatsanforderung aus dem Walletmanager nicht klar, die wird abgelehnt mit:

"MD5 Signature Algorithm Detected. Please change the signature algorithm to SHA1 or better, create a new CSR and try it again!"

Nun würd ich ja gern SHA1 einstellen, ich habe aber keine Ahnung, wo.

Hat jemand einen Tipp für mich?

Vielen Dank!

Grüße
Albi

[AlbiWe]

Angeblich kann man ja externe PKCS#12-Dateien in den Walletmanager importieren. Deshalb habe ich jetzt die komplette Zertifikatserstellung mit einem anderen Tool abgewickelt und ein ewallet.p12 daraus exportiert.

Leider kann der Walletmanager dieses aber nicht öffnen, er meldet einfach mal "Passwort falsch"

Allerdings ist das PW garantiert richtig, denn ich habe hier noch 2 Programme, die das öffnen können, auch wieder exportieren und auch die Zertifizierungsstelle hat es ordentlich mit demselben Passwort exportiert. Ich dachte immer PKCS#12 wäre irgendwie einheitlich ...

Wieso kann das Oracle nicht? Oder hab ich hier jetzt irgendwas übersehen?

Grüße
Albi

[AlbiWe]

Es ist anscheinend tatsächlich so, dass der Oracle Wallet Manager nur MD5 beherrscht (hab extra mal 11g installiert, keine Änderung).

Ich bin jetzt mal testweise zu Verisign als Autorisierungsstelle gewechselt, die akzeptieren noch MD5-Verschlüsselung - und schon funktioniert alles wunderbar.

[AlbiWe]

Zertifikatsproblem im Wallet Manager - gelöst

Hallo allerseits,

anscheinend hatte hier keiner das Problem, trotzdem möchte ich die Lösung anfügen, falls mal einer danach sucht :

Es klappt, wenn man OpenSSL zu Hilfe nimmt.

Zuerst generiert man mit dem Oracle Walletmanager wie üblich ein neues Wallet und eine Zertifikatsanforderung (CSR). Man speichert das Wallet und hat die übliche Datei ewallet.p12. Diese nimmt man nun mit OpenSSL auseinander, so dass die Schlüssel alle lesbar sind:

openssl pkcs12 -in ewallet.p12 -nodes -out blank_wallet.pem

(Die Warnung "unsuportet bagType" ignorieren)

Jetzt kopiert man sich den Private Key aus dieser Datei heraus (sollte der letzte sein, steht ja dran) und diesen in eine neue Datei myprivate.key (oder man löscht den Rest).

Nun benutzt man diesen Key, um eine neue Anforderung zu stellen. OpenSSL nutzt dabei standardmäßig SHA1.

openssl req -new -key myprivatekey.key -out meineseite.csr

OpenSSL fragt nun wieder die üblichen Daten ab (Firma, Ort etc.). Man trägt dieselben ein, wie in der Anforderung im Walletmanager.

Diese neue Zertifikatsanforderung wird nun von jeder Zertifizierungsstelle (CA) akzeptiert.

Das von der CA erhaltene Zertifikat zuletzt in den Walletmanager importieren und - voilà - einer sicheren SSL-Verbindung zur Datenbank steht nichts mehr im Wege!

Ach so: das gehört zwar nicht zum Problem, aber nicht vergessen, gegebenfalls vorher nötige Root-Zertifikate oder Intermediate-Zertifikate zu importieren, die von der jeweiligen CA zur Verfügung gestellt werden.

Viel Erfolg!
Albi

Vielen Dank an Wladimir für den entscheidenden Tipp!