mail4exchange mit ssl, so wirds gemacht!

hallo leute

nachdem ich per pn mehrfach drum gebeten wurde, hier nun ein paar kurze tips in form eines DIY für das erfolgreiche einrichten von ssl für mail4exchange 2.0 für small business server 2003 mit selbst signierten zertifikat.

grundvorraussetzung für die ganze geschichte ist, das ihr das root-certificate der root-authority aus eurem sbs extrahiert. euer nokia wird ausschliesslich wurzel-zertifikate akzeptieren, die folgende zwei felder enthalten:

basic constraints = "Subject Type=CA"
key usage = "Certificate Signing"

ich kann hier nur nochmal wiederholen, das hier zwingend das wurzel-zertifikat erforderlich ist, kein anderes wird funktionieren, da das telefon sonst dem zertifikat nicht vertraut.

als nächstes exportiert ihr das zertifikat im format "DER encoded binary X-509 (.CER)", so das euer zertifikat nun im format deinzertifikat.CER erscheinen sollte.

nun habt ihr im besten fall ein wurzelzertifikat, könnt damit aber noch nichts anfangen, denn es muss ins .DER format konvertiert werden. dies könnt ihr am einfachsten mit open ssl machen, was ihr kostenlos im netz bekommt. um das .CER in .DER zu konvertieren, muss das .CER vorher ins .PEM und dann ins .DER konvertiert werden. dies macht ihr über open ssl über die dosbox mit folgenden kommandos:

.DER zu .PEM konvertieren:
openssl x509 -inform der -in MYCERT.cer -out MYCERT.pem

.PEM zu .DER konvertieren:
openssl x509 -outform der -in MYCERT.pem -out MYCERT.der

nun habt ihr schonmal das zertifikat im richtigen format vorliegen. jetzt heisst es noch , das zert ins nokia zu bekommen. problem ist hierbei, dass das über bluetooth oder dergleichen nicht klappen wird. geht zwar, aber das zert wird anschliessend nicht funktionsfähig importiert. um es ins nokia zu bekommen macht ihr folgendes:

- ladet das zertifikat auf euren privaten webserver (z.b. Standardwebseite)

- wechselt in den iis manager und öffnet die eigenschaften des ordners wohin ihr das cert geladen habt

- öffnet den "http-headers"-reiter und klickt auf "mime types"

- fügt einen benutzerdefinierten mime typ hinzu, dessen erweiterung .DER und der typ "application/x-x509-ca-cert" ist (ohne die anführungszeichen natürlich)

- schnappt euch nun euer telefon und surft mit dem integrierten nokiabrowser auf die website wo ihr das cert abgelegt habt, also z.b. http://www.meineseite.de/meinzertifikat.der

- das handy erkennt nun , das es sich um ein zertifikat handelt und fragt , ob es importiert werden soll (aufgrund des benutzerdefinierten mime-typs , den ihr angelegt habt). das wird natürlich mit ja beantwortet und das wars dann auch schon...

- handy rebooten und freuen das es endlich geklappt hat

die häufigste fehlerquelle , sollte es nicht funktionieren, ist, dass ihr nicht das root zertifikat der root authority erwischt habt, sondern irgendein child, bzw es nicht die beiden zwingend notwenigend values basic constraints und key usage enthält..

das ganze hat mich echt einige tage und jede menge nerven gekostet und natürlich kann ich keine garantie geben , dass das ganze auch bei euch funktioniert und ich distanziere mich auch davon wenn ihr euch euren server brickt. daher noch einen rat: wenn ihr beim zweiten lesen dieses threads noch nicht hundertprozentig verstanden habt, was ihr machen müsst, lasst es lieber..

so, ich hoffe ich konnte ein wenig helfen und wünsche viel spass beim ausprobieren

ja, perfekt ist es nicht und den fehler hab ich auch ab und an..symbian und wm5/6 sind für mich nur spielerei und ein bisschen bastelspass... um ernsthaft unterwegs zuverlässig meine emails zu empfangen nutze ich blackberry, der geht immer

zu 1) du kannst ein zertifikat per bluetooth schicken, keine frage, u.U. wird das telefon dies auch installieren, jedoch reicht das für m4e nicht aus um es als sicher zu identifizieren, aus irgendeinem mir nicht erfindlichen grund

zu 2) es liegt in zwar im .der format vor, aber wie du schon sagtest mit der falschen endung. hier reicht es leider nicht, das zertifikat von .cer in .der umzubenennen, es muss tatsächlich auf so umständliche art und weise konvertiert werden. der grund hierfür würde zu weit ins technische detail gehen und bringt auch nicht wirklich weiter.

zu 3) hierzu gibt es keine direkte anleitung, da dies echt bei jedem individuell unterschiedlich sein kann. ebenso dort über ein forum support zu leisten ist so gut wie nicht machbar. ich kann hier nur ein paar tips als hilfestellung geben. im zertifikatmanager werden ja alle zertifikate angezeigt, hier kann man über die eigenschaften herausfinden, ob man sich gerad das root-zertifikat anschaut, oder ein child. auf dem letzten reiter der eigenschaften eines zertifikates sieht man i.d.r. eine baumdarstellung wobei das oberste das gesuchte root-cert ist. dies dann ganz einfach exportieren und wie im how-to beschrieben ins telefon importieren

aaaah ok, jetzt weiss ich was du meinst

start -> ausführen -> mmc eintippen und enter drücken -> ins fenster wechseln und strg+m drücken um ein snapin hinzuzufügen -> links unten auf hinzufügen klicken und im darauffolgenden fenster "zertifizierungsstelle" auswählen -> ok drücken -> links den baum erweitern und auf "ausgestellte zertifikate" wechseln -> das cert mit der zertifikatvorlage webserver doppelklicken -> voilá

kann dir da leider so auch nicht weiterhelfen, ich weiss dahingehend auch nur, dass es nicht funktioniert mit dem einfach umbenennen... möglicherweise würde es auch funktionieren , wenn du das .cer in PKCS12 package (.p12 format) packst, dann könntest du es, soweit die theorie, auch per file transfer auf das mobile schicken.. das hab ich allerdings nicht probiert

also das mit dem zertifikat haste richtig gemacht, nur das mail4exchange spinnt... normalerweise reicht es das m4e zu deinstallieren, reboot und dann nochmal zu installieren. danach erneut neu starten und dann einen sync versuchen, dann sollte es klappen