AW: Fingerprints

[#1]

Hallo,

wo findet man von den Webadressen die Fingerprints der Zertifikate und öffentlichen Schlüssel für die folgenden Protokolle?

(1) SSL/TLS-Protokoll (https, pop3s, imaps, smtps, webdavs)
(2) SSH-Protokoll (sftp)

Gelegentlich möchte ich die Fingerabdrücke mal überprüfen können, insbesondere dann, wenn die Zertifikate und öffentlichen Schlüssel erneuert werden.

mfg Volker

[#2 · Accepted solution]

Hallo Volker_,

ich habe folgende Rückmeldung bekommen:

Zu 1) Unter der folgenden URL findet man Informationen zu den öffentlichen Schlüsseln:

https://www.telesec.de/de/public-key-infrastruktur/support/root-zertifikate/category/59-t-telesec-gl...
https://www.telesec.de/en/serverpass-en/support/download-area/category/75-telesec-serverpass-class-2...

Zu 2) Folgender Informationsartikel wurde erstellt: https://homepagecenter.telekom.de/index.php?id=483

Ich wünsche noch einen schönen Abend.

Viele Grüße Nadine H.

[#3]

Guten Abend @Volker_

Herzlich willkommen in unserer Community. Ich kann dir nur Informationen für die jeweiligen Verbindungen mitteilen, aber nicht, ob und wie man die Fingerprints überprüfen kann. Ich habe die Frage mal direkt an die Kollegen aus der Fachabteilung weitergeleitet. Sobald ich eine Rückmeldung habe, melde ich mich wieder hier.

Viele Grüße & einen schönen Abend noch.
Nadine H.

[#4 · Accepted solution]

Hallo Volker_,

ich habe folgende Rückmeldung bekommen:

Zu 1) Unter der folgenden URL findet man Informationen zu den öffentlichen Schlüsseln:

https://www.telesec.de/de/public-key-infrastruktur/support/root-zertifikate/category/59-t-telesec-gl...
https://www.telesec.de/en/serverpass-en/support/download-area/category/75-telesec-serverpass-class-2...

Zu 2) Folgender Informationsartikel wurde erstellt: https://homepagecenter.telekom.de/index.php?id=483

Ich wünsche noch einen schönen Abend.

Viele Grüße Nadine H.

[#5]

Vielen Dank für die Antwort.

Zu (2) haben Sie einen Link angegeben, der den Fingerabdruck zum Server-Schlüssel 'hosting.telekom.de' wiedergibt, den ich mit meinem sFTP-Programm nachvollziehen konnte, ausgezeichnet!

In Ihrer Anleitung 'FTP-Zugang in FileZilla einrichten'
https://homepagecenter.telekom.de/index.php?id=284
haben Sie ein Bild angegeben, wo man dem unbekannten Server-Schlüssel einfach vertrauen sollte, was jetzt nicht mehr erforderlich ist.

Das Gleiche gilt auch für die Anleitung 'Verbindung zur Homepage per SSH über Putty herstellen'
https://homepagecenter.telekom.de/index.php?id=258

Zu (1) haben Sie zwei Links angegeben, die nur das Zwischenzertifikat 'TeleSec ServerPass Class 2 CA' und das Stammzertifikat 'T-TeleSec GlobalRoot Class 2' z.B. zum Server 'secureimap.t-online.de' wiedergeben.

Eigentlich benötigt man die Fingerabdrücke von den Server-Zertifikaten 'secureimap.t-online.de', 'webdav.magentacloud.de' usw. Ich gebe zu, das wird sehr umfangreich sein, aber als Beispiel nenne ich die Fingerprints der Webadressen der Postbank:
https://www.postbank.de/privatkunden/webadresse.html

mfg Volker

[#6]

@Volker_

Hallo Volker,

ich habe deine Rückmeldung an den Kollegen weitergeleitet. Selbes Spiel, sobald ich eine Antwort habe, melde ich mich wieder hier.

Viele Grüße & noch einen schönen Tag
Nadine H.

[#7]

@Volker_

Moin Volker,

heute habe ich wieder eine Rückmeldung im Gepäck:

Zu 2) Mein Kollege hat die beiden Anleitungen noch mal (leicht) modifiziert.

Zu 1) Das ist in der Tat sehr umfangreich. Die Zertifikate werden ja regelmäßig aktualisiert und eine Übersicht der Fingerabdrücke müsste auch aktuell gehalten werden, damit Sie sinnvoll ist. Grundsätzlich sollten die übergeordneten Zertifikate die Integrität des Zertifikats sicherstellen. Er platziert es aber mal als Verbesserungsvorschlag bei den Kollegen - eine Umsetzung können wir aber nicht versprechen.

Viele Grüße Nadine H.

[#8]

Hallo,

zu (2) sind jetzt die Anleitungen von 'FileZilla' und 'Putty' um die Fingerandrücke verständlich erweitert worden, OK.

Zu (1) sichern i.d.R. die übergeordneten Zertifikate die Integrität des Zertifikats. Dies schützt aber nicht vor dem seltenen Fall, dass man eine gefälschte Telekom-Webseite erwischt mit einer gültigen aber anderen Zertifikatskette.

Weiterhin sind die übergeordneten Zertifikate der Telekom nicht einheitlich. Beispielsweise ist die Zertifikatskette des Servers 'webdav.magentacloud.de' eine andere als die der E-Mail-Server. Sie besteht aus dem Zwischenzertifikat 'TeleSec ServerPass Extended Validation Class 3 CA' und dem Stammzertifikat 'T-TeleSec GlobalRoot Class 3'.

Vielleicht reicht es aus, die Fingerabdrücke der übergeordneten Zertifikate leicht verständlich anzugeben und die zugehörigen Server, die sie nutzen.

mfg Volker

[#9]

Hallo @Volker,

ich habe die Informationen an den Kollegen weiter gegeben. Wann es allerdings eine Rückmeldung zu dem Verbesserungsvorschlag gibt, kann ich an dieser Steller leider nicht sagen.

Viele Grüße
Stephie G.