IIS Zertifikatsfehler nach Refresh weg!?

[thron_ 0]

Hallo,

 

ich habe ein Problem und komme nicht weiter. Ich habe eine Weseite auf einem IIS gehostet (W2K16-Server) und diese hat ein Root-Zertifikat von unsere Firma. Habe die Seite die ganze Zeit mit dem Firefox 43 ESr aufgerufen und alles lief ohne Fehler. Nun wurde der Firefox auf die Version 68 ESR geupdatet und es wird auch zeitgleich ein neues Rootzertifikat eingespielt. 

 

Wenn ich nun die Seite über den Firefox aufrufe dauert der Aufruf sehr lange und unten links im Browser steht "TLS performing Handshake", dann kommt die Fehlermeldung: "Did Not Connect: Potential Security Issue". Wenn ich nun F5 drücke und kurz warten wird die Seite in gewohnter Weise mit gültigem Zertifiakt geladen!? Hat jemand eine Idee woran das liegen kann bzw. was das problem ist?

 

Viele grüße und danke im Voraus

 

Sascha

[NilsK 2.934]

Moin,

 

gibt es auf der Seite mit der Fehlermeldung einen Link zu näheren Informationen? Das kann evtl. hilfreich sein, weil die Browser da teilweise unterschiedliche Ansichten haben, was ein Sicherheitsproblem ist und was nicht.

 

Ist das Rootzertifikat auf einer eigenen CA erzeugt? Ist diese evtl. neu eingerichtet worden? In solchen Fällen hatte ich Kompatibilitätsprobleme des Firefox mit bestimmten Algorithmen festgestellt, so mag es der FF nicht, wenn man in einer Windows-CA die Option "AlternateSignatureAlgorithm" aktiviert. Hier könnte es also evtl. helfen, die Fehlermeldung  genauer zu inspizieren und ggf. die Konfiguration der CA zu prüfen.

 

Gruß, Nils

 

[thron_ 0]

Hallo Nils,

 

Someone could be trying to impersonate the site and you should not continue.

Websites prove their identity via certificates. Firefox does not trust server.test.mustermann.trust.de because its certificate issuer is unknown, the certificate is self-signed, or the server is not sending the correct intermediate certificates.

Error code: SEC_ERROR_UNKNOWN_ISSUER
View Certificate

 

 

Error code lautet: SEC_ERROR_UNKNOWN_ISSUER

 

.....

Peer's Certificate issuer is noct recognized.

 

HTTP Strict Transport Security: true

HTTP Public Key Pinning: false

 

Certificate chain:

 

.........

 

Viele dank und Grüße

bearbeitet 30. September 2019 von thron_

[tesso 375]

vor 42 Minuten schrieb thron_:

Error code: SEC_ERROR_UNKNOWN_ISSUER

Da hast du doch deinen grund.

 

Der Browser kennt den Herausgeber des Zertifikates nicht. Firefox nutzt einen eigenen Zertifikatsspeicher. Keine Ahnung, ob man das inzwischen anpassen kann.

[NorbertFe 2.034]

vor 13 Minuten schrieb tesso:

Keine Ahnung, ob man das inzwischen anpassen kann.

Jupp kann man:

https://bugzilla.mozilla.org/show_bug.cgi?id=1265113

[thron_ 0]

Ja warum kennt er denn das Zertifikat, wenn ich die Seite neu lade (F5)?

 

Habe auch mal ein wenig recherehiert und ich folgende Links beschreiben das Problem relativ gut.

 

https://www.computerbase.de/forum/threads/firefox-tls-handshake-to-google-com-bremst-mir-den-seiten-aufbau.1717289/
https://support.mozilla.org/en-US/questions/1239112

 

Hanshake dauer sehr lange und anschließend ladete die Seite mit einem Zertifikatsfehler, bei einem anschlißenden Refresh ist alles wieder okay. Bei der Version 43 ESR gab es die Probleme noch nicht!

bearbeitet 30. September 2019 von thron_

[NilsK 2.934]

Moin,

 

und, hilft der Lösungsansatz, der in dem Mozilla-KB-Artikel angegeben ist?

 

Gruß, Nils

 

bearbeitet 30. September 2019 von NilsK

[Sunny61 806]

vor 54 Minuten schrieb thron_:

ladete

Lädt, es heißt lädt!

[NilsK 2.934]

Moin,

 

vor 7 Minuten schrieb Sunny61:

Lädt, es heißt lädt!

 

fast. Lud wäre richtig.

 

Aber meinst du, dass das weiterhilft?

 

Gruß, Niös

 

[thron_ 0]

Nein der Artikel hat mir leider nicht weiter geholfen.

[NilsK 2.934]

Moin,

 

könnte denn ein Virenscanner das Problem verursachen? Verhält sich der Browser ohne diesen genauso?

 

Gruß, Nils

 

[zahni 554]

Wenn "er"  ewig zum Validieren braucht, kann es gut  sein, dass im Zertifikat konfigurierte CRL-Distribution Points oder Auto Responder nicht erreichbar sind.

[thron_ 0]

Das muss ich klären lassen!! Habe ich auch schon ein paar mal gelesen. Aber warum verhalten sich den die Virenscanner nach einem Update von Firefox von 43 ESR auf 68 ESR anders als zuvor? Das verstehe ich nicht, kannst du das erläutern?

 

Grüße

[Sunny61 806]

vor 24 Minuten schrieb NilsK:

fast. Lud wäre richtig.

 

Aber meinst du, dass das weiterhilft?

Beide Varianten sind richtig, je nach Sichtweise.

 

Zur Lösung trägt es nicht bei, aber es schadet nicht.