SOLVED windows phone self signed cert levelezési gond

Microsoft Windows

Sziasztok!

Egy helyen ahol egy Debian szerver intézi a levelezést pár embernek gondja van a levelek elérésével. Azoknak akiknek Windowsos telefonja van. (Minden máson megy gyönyörűen. THunderbird, android, stb)
Nekem még sosem volt ilyen telefonom, holnap veszek egyet a próbához az OLX/Vaterán vagy valahol.
Előre rákeresve mi lehet a baj, úgy tűnik hogy a hét pont valahányas verzió után nem fogadja el a saját maga által aláírt tanúsítványokat. (és itt az van) A panaszosok is tanúsítvány gondokat emlegetnek.
Van erre valami kerülő/hack megoldás ami működik valakinek. (Az első google túrásaim nem voltak sikeresek.)
Ha minden kötél szakad, akkor gondoltam saját zsebből veszek egy pl ilyet:
https://onlinessl.netlock.hu/step1/step2/requestvalidity.html?product_i…
Ezzel van valakinek windowsphone-al kapcsolatban tapasztalata?
...de inkább kerülő megoldást használnék mert akkor meg azoknál fog pampogni a levelezés a megváltozott tanúsítvány miatt akiknek amúgy jó. (többség)

Köszönöm!

  • 4862 megtekintés

( mauzi v | 2015. 04. 06., h – 20:32 )

Életemben egyszer láttam (júzer által hozott) Windows Phone telefont.

Tapasztalatok:

1.) Nincs benne Netlock Gold főtanúsítvány, tehát technikailag egy cseppet sem vagy vele előrébb, mint egy saját CA által aláírt tanúsítvánnyal.

2.) Hiába teszed fel utólag a megfelelő tanúsítványt/tanúsítványláncot, a hiba nem szűnik meg, csak akkor, ha letörlöd a postafiók beállításokat, és újra beállítod.

Én amondó vagyok, hogy:

1.) Vegyél egy közismert CA-tól tanúsítványt. Ettől nem feltétlenül a Windows Phone felhasználódnak lesz jobb, hanem általában mindenki másnak, akinek rendes tanúsítványláncok vannak a készülékében beállítva. (self-signed certificate = igénytelenség)

2.) Ha nem veszel közismert CA-tól tanúsítványt, akkor se self-signed szerver tanúsítványt használj a levelezőszerverben/bármi egyéb szerverben, hanem csinálj egy saját CA-t (aminek nyilvánvalóan a főtanúsítványa self-signed lesz, mert minden főtanúsítvány az) és azzal írj alá egy szerver tanúsítványt a levelezéshez. Ekkor azt lehet mondani a júzernek, hogy telepítse fel a gépére a CA-d tanúsítványát, és egy életre minden (a szerverddel kapcsolatos) tanúsítvány nyűgje megoldódik.

OFF
Gábor!
Én évek óta startos certeket csinálok a levelezésem alá (smtps, pop3s, imaps) és sose volt vele bajom. Egyszer volt olyan, hogy már nem tudtam belépni a régi személyes kulcsommal, de újra regisztrálás után folytattam ott, mint régen.
Azóta be van állítva egy emlékeztető a naptárban, hogy újítsam meg a személyes kulcsot is. :)
ON
Tényleg az a legjárhatóbb út, hogy csaját CA amivel aláírod a szerver kulcsát, és a CA-t importálod a telefonba. Annó cégnél is volt ilyen jellegű malőr.
Ráadásul ott nem is én kezeltem a kulcsokat (akkor már az is startos lenne).

Régen nekem is onnan voltak kulcsaim, de valamikor február környékén amikor akartam ezeknek a népeknek az új szerverükhöz kulcsot csinálni, akkor nem tudtam újat igényelni valami olyan szöveggel, hogy átmenetileg nem tudnak kulcsot kiadni, mert nincs rá kapacitásuk. Aztán egy hétig többször ránéztem és végül így lett önaláírt. Egy jó kis Debian4 szervert vettem át, minden funkció külön virtuális gépként szóval jó bonyolult volt, aztán helyette lett egy 7-es Debian túlbonyolítás nélkül.

Közben itt két kolléga is felajánlotta, hogy kipróbálja és ment nekik éjjel, szóval nem a telefonnal és nem a certekkel van baj, hanem user error esete forog fenn. :) 4-ből 0. :P (4 ilyen user van ott akinek winphone telefonja van és egynek se sikerült) Nincs más, mint egyeztetnek kell velük időpontot és nyomkodni a telefonjukat, de legalább már tudom, hogy működnie kell! :)

--
Rózsár Gábor (muszashi)

"Régen nekem is onnan voltak kulcsaim, de valamikor február környékén amikor akartam ezeknek a népeknek az új szerverükhöz kulcsot csinálni, akkor nem tudtam újat igényelni valami olyan szöveggel, hogy átmenetileg nem tudnak kulcsot kiadni, mert nincs rá kapacitásuk. "

Pár napig volt. Azóta már többet is csináltam.

--
trey @ gépház

Kedves Mauzi,

A NetLock Kft. gyökértanúsítványa a WM 8.1-től megtalálható a Windows mobilokon.

A WM 5,6,2003 és Win CE esetében nem várható frissítés, és SHA256 támogatással sem rendelkeznek, így napjainkban már nem nagyon használhatók SSL kapcsolatra.

Windows 7.1 OS rendszerű telefonokon nem érhető el a NetLock gyökértanúsítványa, és nem várható frissítés.

WM 8.1-től a NetLock gyökértanúsítványa megtalálható a készülékben.

Amennyiben a probléma WM 8.1 esetén fordult, kérem screenshot, hibaüzenetek, használni kívánt oldal URL-je, ... megküldésével vegye fel a kapcsolatot a
NetLock ügyfélszolgálatával (40/225522 vagy info kukac netlock.hu ),
és kollégáim kivizsgálják a probléma forrását.

Varga Viktor
Netlock Kft.
üzemeltetési és vevőszolgálati vezető

Szia Viktor,

(tegeződjünk nyugodtan, találkoztunk már többször személyesen, még a Zsigmond téri irodaház 4. emeletén (üveg)falszomszédok és az 5. emeleti szerverszobában rack-szomszédok voltunk.)

Kösz a kimerítő, és részletes választ! Nyilvánvalóan tehát Windows Phone 7.1 volt a múltkori páciens.
Az egy remek hír, hogy 8.1-től alapból van Gold tanúsítvány.

Arra tudsz valamit mondani, hogy a (desktop) Windows terén mi a helyzet? Utoljára abba futottam bele, hogy amióta a Microsoft kitalálta a certificate auto update-et, azóta a "szűz" Windows egy kvázi-üres tanúsítványtárral érkezik, és csak akkor tölti le a CA certeket, amikor először szükséged van rá - tehát mondjuk megnézel egy HTTPS weboldalt megfelelő API-s rendszerhívásokon keresztül, pl. Explóderből. Ha az átlagjúzer Firefox-ot használ, akkor soha nem lesz Netlock Gold tanúsítványa, és így nem tud felmászni a Netlock tanúsítványos RADIUS-os WiFi-re sem. (BYOD esetén nem tudsz neki előre preparálni semmit.) Ezeket én most Windows 7 mellett tapasztalom. Mi a helyzet újabb Windows-zal?

kösz/üdv.

Szia,

Firefox használata esetén sincs probléma. Független tanúsítvány tára van, és természetesen abban is megtalálható a NetLock.

Az új tanúsítványtár sajnos tényleg így érkezik, de alaphelyzetben nem okozhat problémát.

Bocs a lassú válaszért, de nem találtam még meg a beállítást, amivel a hozzászólásokra érkezett válaszról értesítene a rendszer. :)

Varga Viktor
Netlock Kft.
üzemeltetési és vevőszolgálati vezető

( nagysa v | 2015. 04. 06., h – 21:02 )

Vagy innen:https://www.cacert.org/ szerzel be tanúsítványt ingyen,
amit szintén telepíteni kell az ügyfél gépére.
HA Te már hitelesítve vagy, magad állíthatod ki (feltételek teljesülése után), ingyen a szervereid tanúsítványát.

8.1 Hibakódot még nem tudok, csak azt hogy tanúsítványra panaszkodott nekik és rákeresve rögtön ezzel találtam szembe magam, hogy az ön aláírt tanúsítványt kapásból nem eszik meg. Többet akkor tudok, ha veszek egy ilyen csodát és kipróbálom, ez ma- holnap meglesz.

--
Rózsár Gábor (muszashi)

Én még nem látok hibakódot, mert valószínű ma veszek telót, de két kolléga is kipróbálta nekem tegnap-ma éjjel (HÁLÁS KÖSZÖNET NEKIK) és náluk működött! Tehát a dolog működik! Nem az önaláírt cert és a winphone körül van a hiba, hanem valami azzal a 4 userrel akinek ilyen a telója. :) PEdig elvben újra létrehozták a fiókot, de valamit csak elkefélnek. Úgy tűnik randiznom kell velük. :) /sajnos nem csinos nőnemű egyedekről van szó:P/
De legalább tudom, hogy a dolognak mennie kell!
Viszont kedvet kaptam kipróbálni egy Lumiát, mert az Androidból tele van...

--
Rózsár Gábor (muszashi)

530-ast vettem, mert nálam egy telefon max 1 évet bír, így aztán nem költök sokat rá. Tóba esik, összetörik, simán tönkremegy, mindig van valami.
Azt kell mondjam, hogy megtartom a telefont. Eddig belépő körüli Androidjaim voltak (most épp egy 2-3 hetes Galaxy Trend Plus)és azokhoz képest -egyelőre- a belépő szintű wp8.1 fényévekkel jobb. Vannak gondjaim persze, ami hardveresen hiányzik az a vaku /nem fotózni, lámpának este hazafelé/ de ezt tudtam mikor megvettem. Ami inkább fáj a ritkán használt -de akkor nagyon jól jött- wifi analyzer és társainak hiánya ezen a plattformon. A naptár rusnya és nem látszódik benne a google naptárban lévő különböző színek a különböző eseményekhez, de kb ennyi a hátránya. Ellenben nincsenek 15 másodperces fehér képernyős várakozások ha belépnék pl messengerre vagy e-mailre, az egész jóval gyorsabban reagál mindenre és eddig még nem szállt el. Szóval nem tökéletes, de kevésbé rossz -nekem- mint az android. Így váltottam. Hogy egy év múlva is így látom-e az majd kiderül, amikor a következő telefont veszem. -remélem addig kitart ;)

--
Rózsár Gábor (muszashi)