joe2017
Feb 19, 2019
view4879
view7
0
Goto Top

Apache 2.4. unter Windows Server - SSL Zertifikatfehler

GermanQuestionWebserverLinux
Schönen guten Morgen zusammen,

Ich habe den Apache 2.4. auf einem Windows Server bereitgestellt und möchte meine Virtual Hosts mit SSL verschlüsseln.
Hier bekomme ich immer wieder eine Fehlermeldung und hoffe das mir jemand einen Tipp geben kann.

Folgendes habe ich durchgeführt:
  • Apache 2.4. auf C:\ entpackt
  • SSL Zertifikat von meinem AD-CA bereitgestellt (ECC-384)
  • SSL Zertifikat als PFX exportiert
  • Folgendes am OpenSSL durchgeführt
pkcs12 -in f:\certificate.pfx -nocerts -out f:\key.pem
ec -in f:\key.pem -out f:\key_noPrivateKey.pem
pkcs12 -in f:\certificate.pfx -clcerts -nokeys -out f:/cert.pem
  • zusätzlich habe ich ein chain Zertifikat meiner ROOT & Intermediate CA
  • In meiner httpd-vhosts.conf habe ich folgendes eingetragen
<VirtualHost *:443>
    ServerAdmin webmaster@domain.net
    DocumentRoot "C:/Web/site1"  
    ServerName server.domain.net
    ErrorLog "logs/site1-error.log"  
    CustomLog "logs/site1-access.log" common  
    SSLEngine on
    SSLCipherSuite ECDHE-ECDSA-AES256-GCM-SHA384
    SSLCertificateFile "C:\Apache24\conf\cert.pem"  
    SSLCertificateKeyFile "C:\Apache24\conf\key_noPrivateKey.pem"  
    SSLCertificateChainFile "C:\Apache24\conf\chain.pem"  
</VirtualHost>

Dennoch erhalte ich folgende Fehlermeldung:
[Tue Feb 19 08:10:08.449194 2019] [ssl:emerg] [pid 2360:tid 424] AH02561: Failed to configure certificate server.domain.net:443:0, check C:/Apache24/conf/cert.pem
[Tue Feb 19 08:10:08.449194 2019] [ssl:emerg] [pid 2360:tid 424] SSL Library Error: error:140AB18E:SSL routines:SSL_CTX_use_certificate:ca md too weak

Irgendwie komme ich hier nicht weiter. Was mache ich falsch?
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 419293

Url: https://administrator.de/contentid/419293

Printed on: April 19, 2024 at 09:04 o'clock

7 Comments
Latest comment
Goto Top
Member: godlie
godlie Feb 19, 2019 at 08:36:02 (UTC)
Goto Top
Hallo,

also das steht ja eigentlich wunderschön in der Fehlermeldung:

SSL_CTX_use_certificate:ca md too weak

das heist, das eines deiner Zertificate einen MD5 Hash verwendet und wie wir ja wissen ist der Käse gelutscht.

Schau dir mal die Einstellungen bzgl. Sicherheit / Algorithmus beim CA an, sha256 ... ist mal ratsam hierbei
Member: bob1991
bob1991 Feb 19, 2019 at 08:44:13 (UTC)
Goto Top
Hi,

nach meinem Kenntnisstand wird das Chain File unter das "key_noPrivateKey.pem" gepackt. Sprich in eine Datei - ab Apache 2.4.
Ich kann mich godlie aber anschließen, das wird dich Sicherlich zur Problemlösung herbei führen.

Dann hat du nur noch das SSL CertificateFIle und das SSLCertificateKeyFile.


Gruß
Member: joe2017
joe2017 Feb 19, 2019 at 08:45:51 (UTC)
Goto Top
Das ist ja das Problem.

Mein Zertifikat ist ein ECDSA mit einem sha384. MD5 habe ich nicht im Einsatz.
Member: godlie
godlie Feb 19, 2019 updated at 09:39:42 (UTC)
Goto Top
Poste mal die openssl *.cnf file, ich glaube das du noch eine "ältere" openssl version hast, welche als default_md noch md5 nutzt.

Ab openssl 1.1 wird sha256 als Standard verwendet.

Alternativ kannst du die default_md auf sha256 setzen und dann nochmal die certs neu generieren
Member: joe2017
joe2017 Feb 19, 2019 at 15:53:33 (UTC)
Goto Top
Ich generiere ja kein Zertifikat mit OpenSSL, sondern mit meiner Microsoft AD-CA.

Diese Zertifikate können im Apache jedoch nicht verwendet werden, weshalb ich mit OpenSSL lediglich die beiden Dateien (cert und key) aus meinem bereits vorhandnen Zertifikat exportiere. Somit wird ja kein neues Zertifikat erstellt.
Member: Dani
Dani Feb 19, 2019 at 16:21:04 (UTC)
Goto Top
Moin,
Mein Zertifikat ist ein ECDSA mit einem sha384.
Sicher? Oder meinst du die entsprechende Cipher Suite? Poste doch einfach ein Screenshot der entsprechenden Eigenschaften des betroffenen Zertifiakts. Parallel schau mal die Eigenschaften des Zertifikats durch, ob dort etwas aufällig ist.


Gruß,
Dani
Member: joe2017
joe2017 Feb 20, 2019 at 08:12:35 (UTC)
Goto Top
Sollte eigentlich alles passen.

Signatur algorithm: ECDSA
Signatur hash algorithm: sha384
Public key parameters: ECDH_P384

Was OpenSSL im Anschluss bei dem Split macht kann ich natürlich nicht sagen.
GermanQuestionWebserverLinux
Hotly discussed
AlexWishaHow to set up and configure a Linux GRE tunnelAlexWisha - 3 CommentsjstrickerWIREGUARD VPN ON UDM PRO BEHIND FRITZBOX - HANDSHAKE DID NOT COMPLETEjstricker - 3 CommentsgleixnerdCheck of ZFW Firewallgleixnerd - 1 CommentDaniEnd of Support dates for Office 2016, 2019 Apps und Productivity ServersDani - 1 Comment