DGN S/Mime Probleme

[Robert Klarmann]

Hallo zusammen,

ich habe mir privat ein kostenloses S/Mime Zertifikat vom DGN (Deutschen Gesundheits Netz) geholt. Die betreffenden Root CAs habe ich im NSP hinzugefügt.
Mein S/Mime Zertifikat ist auf meiner Sophos UTM für meinen User hinterlegt und diese signiert auch sauber mit dem Zertifikat.
Schicke ich nun auf unseren Firmen NSP eine signierte Email, so wird diese abgelehnt

"     Die Zustellung wurde aufgrund dieser Ursachen verhindert:

• Die Überprüfung der Zertifikatskette ist fehlgeschlagen."
  

[ffischer]

Hallo,
da fehlt sicherlich was .. schick mal mir irgend was wennd magst . ich Analysiere das mal.
Mail per PN

[ffischer]

Hallo, kurze Info.
also bisher klappt das immer noch nicht, div. Tests melden immer, dass keine Verbindung zur den Revocation Servern aufgebaut werden kann.

Daher kann NSP die Zertifikate nicht prüfen. eine Anfrage beim dgn.de blieb bisher unbeantwortet.

#
Die Sperrfunktion konnte die Sperrung nicht überprüfen, da der Sperrserver offline war. 0x80092013 (-2146885613 CRYPT_E_REVOCATION_OFFLINE)
------------------------------------
Sperrungsüberprüfung übersprungen -- Server ist offline
Das Zertifikat ist ein Endeinheitzertifikat
#

[JanJäschke]

Hallo ffischer,

mal ein Wortlaut direkt von uns.
Wir werden ebenfalls versuchen mit der DGN in Kontakt zu treten.

Wir haben eine Mögliche Ursache für das Problem gefunden, demnach wäre es ein Zusammenspiel zwischen der DGN CA und Windows Zertifikatsvalidierung.

Sobald wir genauere Informationen haben werde ich hier noch einmal schreiben.


Gruß
Jan

[ffischer]

Hallo,
habe Antwort bekommen vom Support DGN

##
Wie wir Ihrer Anfrage entnehmen, nutzen Sie das DGN-MailCert. Hierbei handelt es sich um ein kostenloses Angebot, welches den Einstieg in die Kryptographie erleichtern soll. Bitte haben Sie Verständnis dafür, dass wir für dieses Angebot keinen Sperrdienst und keinen OCSP-Responder betreiben.
##

Öm..ok damit hätte ich nun nicht gerechnet...
Dann kan man mit diesen Zertifikaten zwar arbeiten aber nur "privat " , verifizieren geht nicht, und das macht der NSP ja.


Grüsse

[JanJäschke]

Hallo ffischer,

das ist ja eine sehr interessante Aussage o.0
Leider warte ich noch auf eine weitere Rückmeldung in welcher es um einen deutlich tieferen teschnichen Hintergrund geht.
Mir liegt leider kein Endbenutzer Zertifikat vor aber ich habe die "dgnservice_CA_2_Type_EPN" Sub CA. In dieser sind auch sperrlisten angegeben aber leider in einer nicht von Windows unterstützen Form.

Ich schaue mal was die DGN noch zurückmeldet

Gruß,
Jan

[ffischer]

Hallo Jan,
ja der Sinn dahinter erschließt sich mir auch nicht.
Fraglich ist dann ja noch ob man hier sein Zertifikat sperren lassen kann sofern mal kompromittiert und selbst wenn.
Es kann ja nicht geprüft werden.
Ich bin gespannt ob DGN sich bei dir meldet.

Grüße Frank

[Robert Klarmann]

Hallo zusammen,

also mit so was hab ich ja nun wirklich nicht gerechnet. Entweder betreibt man eine Infrastruktur ganz oder gar nicht. Auch wenn es ein kostenloses Angebot ist, sollte man sich an die Spielregeln halten und vor allem dann wenn das eigentlich ursprünglich für den medizinischen Bereich konzipiert wurde. Ich möchte nicht wissen, wie viele Ärzte etc. die kostenlosen DGN Zertifikate einsetzen. (Ich kenn einige Praxen, die mit der IT extremst sparsam unterwegs sind ...)

@Frank: Danke nochmal für die Mühe!

Robert

[ffischer]

Hallo,
ich glaube damit hätte niemand gerechnet, vielleicht bekommt Jan noch was raus.
Aber so gehts nicht.
Wenn ich mir das im LDAP Verzeichnis anschaue gibt es hier viele Kunden im Medizinischen Bereich.
Jedoch sind dort keine SMIME Zertifikate hinterlegt, lediglich Einträge.
Also ganz sauber ist das nicht. Eventuell ist manches nur aus einem KV Netz zu erreichen. Müsste ich mal prüfen.

@Robert, keine Ursache - immer wieder gern.

Grüße
Frank

[Robert Klarmann]

Also wenn man sich den Text für die kostenlosen S/Mime Zertifikate anschaut ...

https://www.dgn.de/e-mail-zertifikat-dgncert/

da schreiben sie ... "Sichere Mail-Kommunikation. Mit DGNcert sichern Sie Ihren elektronischen Datenverkehr und schaffen Vertrauen bei Ihren Kommunikationspartnern."