13 Jun
2016
13 Jun
'16
10:19 p.m.
Ahoj, řekl bych, že máš za klientovi zakázané tls 1.0. Zkus přidat tvůj ca do
důvěryhodnych autorit a project konfiguraci klienta. Mimochodem ještě bych si ověřil na
serveru jestli nepoužíváš zastaralé sslv3.
Odesláno ze smartphonu Sony Xperia™
Petr Líbal <libal(a)volfsystems.cz>napsal/apsal/a:
Ahojte,
mám takovej problémek.. už cca 2 roky jedu konfiguraci postfix/dovecot
mám vygenerovaný self-signed certifikáty(už od instalace, platnost
10roku) v thunderbirdu nastavenou IMAP komunikaci po STARTTLS port 143 a
vše fungovalo/funguje jak má -> napoprvé to zabrečí že self-signed cert.
potvrdí se vyjímka a jede to.
jenže včera vyskočila z ničeho nic hláška že to chce zas potvrdit
vyjímku a můžu to mačkatjak chci ale furt to tam naskakuje...
v /var/mail.log je tohle:
dovecot: imap-login: Disconnected (no auth attempts in 0 secs): user=<>,
rip=XXX.XXX.XXX.XXX, lip=XXX.XXX.XXX.XXX, TLS: SSL_read() failed:
error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca: SSL
alert number 48
proč to chce CA když používám self-signed cert??
ale to nejlepší je že tohle mi dělá jen jeden PC(win7) + virtuál v
něm(w10) a to:
-skoušeno na místní wifi i lte
-zkoušel sem tři verze Thunderbirdu a to 36, 45.0.0 a teď poslední
45.1.1
na dalších 6ti pc je to ok(k těm se dostanu nejdřív zejtra abych okoukl
konfig/verzi), z telefonu(android + gmail app) je to ok...(port
143/STARTTLS-prijimat all)
tam to do logu hodí normálně:
dovecot: imap-login: Login: user=<XXXXXX(a)XXXXXXXXXXXX.cz>cz>,
method=PLAIN, rip=XXX.XXX.XXX.XXX, lip=XXX.XXX.XXX.XXX, mpid=23855, TLS,
session=<sXKy5C01dADVqLix>
na příkaz: openssl s_client -connect muj.server.cz:143 -starttls imap
mi to odpoví že:
bla bla
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES256-GCM-SHA384
bla bla bla
Verify return code: 18 (self signed certificate)
OK
což je v pořádku ne?
jen pro info:
dpkg -l | egrep 'postfix|dovecot'
ii dovecot-core 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - core files
ii dovecot-imapd 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - IMAP daemon
ii dovecot-mysql 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - MySQL support
ii dovecot-pop3d 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - POP3 daemon
ii dovecot-sieve 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - Sieve filters support
ii postfix 2.11.0-1ubuntu1
amd64 High-performance mail transport agent
ii postfix-doc 2.11.0-1ubuntu1
all Documentation for Postfix
ii postfix-mysql 2.11.0-1ubuntu1
amd64 MySQL map support for Postfi
přijde mi to jako problém Thunderbirdu ale jistej si nejsem... zvlášť
když nepomohla ani nová instalace na jinym OS...
co myslíte?
--
S pozdravem
Petr Líbal
734 622 701| libal(a)volfsystems.cz
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
14 Jun
14 Jun
7:20 a.m.
New subject: dovecot, thunderbird, self-signed cert ca error
Ahoj,
CA přidávat ručně se zkoušel.. (pokud je to ten z
/etc/ssl/certs/dovecot.pem (samozrejme ne ten "private")
popravdě v těch klíčích už trošku plavu :)
generovaný je to takhle pokud se nepletu:
openssl req -new -x509 -days 3650 -nodes -out
"/etc/ssl/certs/dovecot.pem" -keyout "/etc/ssl/private/dovecot.pem"
v /etc/dovecot/dovecot.conf mám:
ssl_protocol = !SSLv2 !SSLv3
takže žádný starý SSL...
ještě v příloze info z sstools.net
tam to sice píše že podporuju nějaký slabý šifry ale nic zásadního...
jediný cim si nejsem jistej, tak to pise ze to nemohlo overit
certfikacni autoritu ale mam za to ze je to dany tim self-signed ne?
defakto proto to chce potvrdit i tu bezpecnostni vyjimku v Thunder... ?
nebo se pletu?
jak do toho cumim uz druhej den sem cim dal tim vic zmatenej :)
Petr
Dne 2016-06-14 00:19, Jiří V. napsal:
Ahoj, řekl bych, že máš za klientovi zakázané tls 1.0.
Zkus přidat
tvůj ca do důvěryhodnych autorit a project konfiguraci klienta.
Mimochodem ještě bych si ověřil na serveru jestli nepoužíváš zastaralé
sslv3.
Odesláno ze smartphonu Sony Xperia™
Petr Líbal <libal(a)volfsystems.cz>napsal/apsal/a:
Ahojte,
mám takovej problémek.. už cca 2 roky jedu konfiguraci postfix/dovecot
mám vygenerovaný self-signed certifikáty(už od instalace, platnost
10roku) v thunderbirdu nastavenou IMAP komunikaci po STARTTLS port 143
a
vše fungovalo/funguje jak má -> napoprvé to zabrečí že self-signed
cert.
potvrdí se vyjímka a jede to.
jenže včera vyskočila z ničeho nic hláška že to chce zas potvrdit
vyjímku a můžu to mačkatjak chci ale furt to tam naskakuje...
v /var/mail.log je tohle:
dovecot: imap-login: Disconnected (no auth attempts in 0 secs):
user=<>,
rip=XXX.XXX.XXX.XXX, lip=XXX.XXX.XXX.XXX, TLS: SSL_read() failed:
error:14094418:SSL routines:SSL3_READ_BYTES:tlsv1 alert unknown ca:
SSL
alert number 48
proč to chce CA když používám self-signed cert??
ale to nejlepší je že tohle mi dělá jen jeden PC(win7) + virtuál v
něm(w10) a to:
-skoušeno na místní wifi i lte
-zkoušel sem tři verze Thunderbirdu a to 36, 45.0.0 a teď poslední
45.1.1
na dalších 6ti pc je to ok(k těm se dostanu nejdřív zejtra abych
okoukl
konfig/verzi), z telefonu(android + gmail app) je to ok...(port
143/STARTTLS-prijimat all)
tam to do logu hodí normálně:
dovecot: imap-login: Login: user=<XXXXXX(a)XXXXXXXXXXXX.cz>cz>,
method=PLAIN, rip=XXX.XXX.XXX.XXX, lip=XXX.XXX.XXX.XXX, mpid=23855,
TLS,
session=<sXKy5C01dADVqLix>
na příkaz: openssl s_client -connect muj.server.cz:143 -starttls imap
mi to odpoví že:
bla bla
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 4096 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES256-GCM-SHA384
bla bla bla
Verify return code: 18 (self signed certificate)
OK
což je v pořádku ne?
jen pro info:
dpkg -l | egrep 'postfix|dovecot'
ii dovecot-core 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - core files
ii dovecot-imapd 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - IMAP daemon
ii dovecot-mysql 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - MySQL support
ii dovecot-pop3d 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - POP3 daemon
ii dovecot-sieve 1:2.2.9-1ubuntu2.1
amd64 secure POP3/IMAP server - Sieve filters support
ii postfix 2.11.0-1ubuntu1
amd64 High-performance mail transport agent
ii postfix-doc 2.11.0-1ubuntu1
all Documentation for Postfix
ii postfix-mysql 2.11.0-1ubuntu1
amd64 MySQL map support for Postfi
přijde mi to jako problém Thunderbirdu ale jistej si nejsem... zvlášť
když nepomohla ani nová instalace na jinym OS...
co myslíte?
--
S pozdravem
Petr Líbal
734 622 701| libal(a)volfsystems.cz
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list
_______________________________________________
Community-list mailing list
Community-list(a)lists.vpsfree.cz
http://lists.vpsfree.cz/listinfo/community-list 
8:45 a.m.
New subject: dovecot, thunderbird, self-signed cert ca error
Když máš self-signed, tak žádná autorita neexistuje. Je to pak jen
samostatně stojící certifikát, jehož zdroj nelze ověřit.
Proč ale dneska používáš self, když můžeš mít důvěryhodný cert od Lets's
Encrypt?
--
Petr Krčmář
vpsFree.cz
10:22 a.m.
New subject: dovecot, thunderbird, self-signed cert ca error
přesně to sem si myslel, díky
Lets's Encrypt před 2 lety ještě pokud vím neběželo a vcelku se držím
zásady nevrtat se v tom co funguje, každopádně to vypadá že asi nastal
ten vhodný okamžik začít..
co sem v rychlosti koukal na pár návodů mělo by stačit:
zkopírovat z gitu
nainstalovat
vygenerovat klíče
automaticky obnovovat
pak jen přenastavit cesty v postfixu/dovecotu
až se dostanu domů, zkusím to víc nastudovat, dík za tip
Petr
Dne 2016-06-14 10:45, Petr Krcmar napsal:
Když máš self-signed, tak žádná autorita neexistuje.
Je to pak jen
samostatně stojící certifikát, jehož zdroj nelze ověřit.
Proč ale dneska používáš self, když můžeš mít důvěryhodný cert od
Lets's Encrypt?
11:08 a.m.
New subject: dovecot, thunderbird, self-signed cert ca error
Doporučuji klient ACME.sh, je napsaný v bashi, nemá žádné závislosti a umí
všechno.
--
Petr Krčmář
vpsFree.cz
7:08 p.m.
New subject: dovecot, thunderbird, self-signed cert ca error
Ahoj,
vše je přehozeno na Lets's Encrypt, ještě uvidíme zda se povede
automatickej "refresh" za 3 měsíce ale jinač to vypadá super.
s ACME.sh je to až překvapivě jednoduché :)
ještě jednou dík za nasměrování ;)
Petr
Dne 14.6.2016 v 13:08 Petr Krcmar napsal(a):
Doporučuji klient ACME.sh, je napsaný v bashi, nemá
žádné závislosti a
umí všechno.
9:14 a.m.
New subject: dovecot, thunderbird, self-signed cert ca error
A jestli plaveš v klíčích a certifikátech, tak jsem to nedávno vysvětloval
na přednášce:
https://www.youtube.com/watch?v=47sj8xdjAsQ
--
Petr Krčmář
vpsFree.cz
2883
days inactive
2884
days old
community-list@lists.vpsfree.cz
6 comments
3 participants
participants (3)
-
Jiří V. -
Petr Krcmar -
Petr Líbal