[Eisfair] ionos Zertifikat fehlerhaft

[Alex Busam]

Hab das Übertragungsprotokoll auf imap umgestellt, Port 993. Das war ein 
Versuch, um vielleicht an ein "anderes" Zertifikat zu kommen. Aber 
pop..., imap..., alle zeigen auf smtp.ionos.de


Am 12.08.2020 um 11:19 schrieb Marcus Röckrath:
> /var/install/bin/certs-request-cert --writecert --replace pop3 pop.ionos.de

liefert jetzt bei mir
*
| certificate : smtp.ionos.de.pem (802f74b1)
| subject     : C = DE O = 11 IONOS SE ST = Rheinland-Pfalz L = 
Montabaur CN = smtp.ionos.de
| issuer      : C = DE O = T-Systems International GmbH OU = T-Systems 
Trust Center ST = Nor
| MD5 f-print : 0E:88:33:B2:5F:39:F3:51:5F:F6:52:4D:94:97:2F:F7
| SHA1 f-print: 10:91:4C:AB:B2:9D:07:02:C4:DD:53:9B:A5:23:9E:A8:93:A9:3D:B4
|
+->| certificate : telesec_serverpass_class_2_ca.pem (33013750)
    | subject     : C = DE O = T-Systems International GmbH OU = 
T-Systems Trust Center ST =
    | issuer      : C = DE O = T-Systems Enterprise Services GmbH OU = 
T-Systems Trust Center
    | MD5 f-print : 74:78:51:90:16:76:6E:B0:3D:53:A5:E3:CA:5A:1A:91
    | SHA1 f-print: 
7B:C0:04:8A:1F:D8:F4:23:8C:CC:C9:CC:56:6D:D3:8B:FF:7E:67:E2
    |
    +->| certificate : T-TeleSec_GlobalRoot_Class_2.pem (1e09d511)
       | subject     : C = DE O = T-Systems Enterprise Services GmbH OU 
= T-Systems Trust Cen
       | issuer      : C = DE O = T-Systems Enterprise Services GmbH OU 
= T-Systems Trust Cen
       | MD5 f-print : 2B:9B:9E:E4:7B:6C:1F:00:72:1A:CC:C1:77:79:DF:6A
       | SHA1 f-print: 
59:0D:2D:7D:88:4F:40:2E:61:7E:A5:62:32:17:65:CF:17:D8:94:E9
       |
       +-> end of chain!

checking certificate chain:
/usr/local/ssl/certs/smtp.ionos.de.pem: OK
     Last Update: Aug 11 13:10:27 2020 GMT
     Next Update: Aug 16 13:10:27 2020 GMT


also das neue Zertifikat.
Und seit 11:02 funktioniert wieder alles korrekt.

Um
2020-08-12 07:05:28 =======================================================
2020-08-12 07:05:28 Fingerprint mismatch detected
2020-08-12 07:05:28 -------------------------------------------------------
2020-08-12 07:05:28 Start request of pop/imap certificates
2020-08-12 07:05:28 Requesting: imap.ionos.de
2020-08-12 07:05:28 imap.ionos.de:993 in progress
2020-08-12 07:05:28 imap.ionos.de:993 Using port 993
2020-08-12 07:05:29 imap.ionos.de:993 pop/imap certificate downloaded 
(smtp.ionos.de.pem)
2020-08-12 07:05:29 imap.ionos.de:993 Updating CRL
2020-08-12 07:05:46 imap.ionos.de:993 Updating all appearances of 
fingerprint
2020-08-12 07:05:46 imap.ionos.de:993 
BE:BA:8C:21:00:73:B7:88:6B:8C:3E:5E:4C:18:96:88 to
2020-08-12 07:05:46 imap.ionos.de:993 
0E:88:33:B2:5F:39:F3:51:5F:F6:52:4D:94:97:2F:F7
2020-08-12 07:05:46 imap.ionos.de:993 in progress

zum ersten Mal das neue Zertifikat ausgeliefert. Danach mal das gleich, 
mal das alte:
2020-08-12 07:06:15 =======================================================
2020-08-12 07:06:15 Fingerprint mismatch detected
2020-08-12 07:06:16 -------------------------------------------------------
2020-08-12 07:06:16 Start request of pop/imap certificates
2020-08-12 07:06:16 Requesting: imap.ionos.de
2020-08-12 07:06:16 imap.ionos.de:993 in progress
2020-08-12 07:06:16 imap.ionos.de:993 Using port 993
2020-08-12 07:06:17 imap.ionos.de:993 pop/imap certificate downloaded 
(smtp.ionos.de.pem)
2020-08-12 07:06:17 imap.ionos.de:993 Updating CRL
2020-08-12 07:06:33 imap.ionos.de:993 Updating all appearances of 
fingerprint
2020-08-12 07:06:33 imap.ionos.de:993 
0E:88:33:B2:5F:39:F3:51:5F:F6:52:4D:94:97:2F:F7 to
2020-08-12 07:06:33 imap.ionos.de:993 
BE:BA:8C:21:00:73:B7:88:6B:8C:3E:5E:4C:18:96:88
2020-08-12 07:06:33 imap.ionos.de:993 in progress


Es dürfte also genau so sein, wie Du sagst, Marcus. Das Zertifikat wurde 
aktualisiert. Jedoch erst nach grob 24h ist es auf allen Servern neu. 
Bis dahin werden zufällig altes oder neues ausgegeben.
Hab das mal mitgelesen bei Telekom-Zertifikat mit ähnlichem Effekt.

Aber was kann ich tun, wenn sowas mal wieder ist?
SSL abschalten geht nicht mehr, oder?
Die Fingerprints von Hand rauslöschen?
Falsche Fingerprints oder abgelaufene Zertifikate temporär erlauben?
Einen "bestimmten" Server ansprechen, der schon das neue hat??
Oder bin ich da machtlos und hab zu akzeptieren, dass ich 24h 
Empfangsprobleme hab?

Vielen Dank für Deine Hilfe!!!

Grüße
Alex