Let's Encrypt Probleme 2025-05?

ACME auf einem anderen Server laufen lassen und die Certs dann verteilen?

Wenn beide in der Chain sind müsste die Reihenfolge egal sein

Zitat aus einem Post von Viper780

Wenn beide in der Chain sind müsste die Reihenfolge egal sein

Das ist bzw. war mit OpenSSL zumindest historisch tatsaechlich eine Frage der Software, und wie den ihren CTX konfiguriert/initialisiert. Also ist schon vorstellbar, dass es da Befindlichkeiten gibt, dass z. B. im PEM die Intermediates absteigend sortiert vor oder aufsteigend sortiert nach dem Leaf notiert sein muessen.

Gibt imho nur drei gute Erklaerungen: Faulheit, Unwissenheit, oder Bosheit

Performance koennte man evtl. noch argumentieren, weil es hindert dich in der Theorie ja nichts daran, 1000e Zertifikate in ein PEM-File zu klopfen - soll die Software dann wirklich einen vollstaendigen Graphen aus alles darin abgelegten Zertifikaten bauen, um die richtigen Chains an deine Leafs zu bringen? Imho nein - das kann man dem sysop schon abverlangen, dass der seinen Schluessel- und Zertifikatskram halbwegs in Ordnung hat.

So, habe mich selbst jetzt eine Weile nicht gemeldet, weil viel los war bei mir (und NICHTS davon war gut), unter anderem ist die Systemplatine meines 29 Jahre in Betrieb befindlichen Servers gestorben. Der sekundäre PCI Buskontroller hat die Grätsche gemacht, womit der Kernel einen entsprechenden Non-Maskable Interrupt erhält sobald er auf den Bus zugreifen will. Der ist komplett tot, auf dem POSTen auch keine SCSI, PXE oder VGA BIOSes mehr.

Endlich eine Platine gefunden, die wenigstens so halb funktioniert... Einen Schatten hat die auch, nur mehr 2 statt 4 CPUs, weil das zweite Riserboard als fehlerhaft erkannt wird.

So, aber jetzt zurück zu SSL.

Ich check's noch immer ned. Das Interweb und die KIs sagen mir, die Cert Order müsse in der PEM Chaindatei wie folgt aus sehen:

0: Ganz oben das Leaf / Server Cert
1: In der Mitte alle Intermediate Certs in irgendeiner Order
3: Ganz unten das Root, das die Intermediates gezeichnet hat

So aber funktioniert es bei mir überhaupt nicht. Da kann mein Client ned Mal verbinden.

Also so probiert:

0: Root (X1)
1: Intermediates (R10 & R11)
2: Leaf

So verbindet er mich, warnt aber: "Server sent unsorted certificate chain in violation of the TLS specifications". Aktuell ist das Leaf von R10 signiert. Also noch folgendes händisch probiert:

0: Root (X1)
1: Intermediate (R10 only)
2: Leaf

Mit dieser Chain funktioniert es sang- und klanglos. Keine Fehler, keine Warnungen, es geht einfach.

Also die folgende Struktur...



...funktioniert bei mir nicht so ganz, da kommt die "unsorted certificate chain" Warnmeldung. Seit kurzem (weil Updates) wertet die Software das sogar als Grund die Connection ganz fallen zu lassen. Etwas ältere Versionen (FileZilla) wertens noch als Warnung.

Also die Idee dem Leaf quasi zu sagen "such dir halt dein passendes Intermediate im Chainfile" scheint nicht zu funktionieren...

Ich tue was ich kann! Downtimes werde ich dafür primär auf diverse Sonntage platzieren, weil da hat die Welt in der Regel eh andere Sachen zu tun, als Dienste von XIN.at zu konsumieren.

Zum Pi, das läßt sich experimentell anhand des von mir selbst gebauten [x264 Benchmarks] nachweisen. Der schnellste Raspberry Pi in der Liste ist - und jetzt kommt der Jaw-Drop - 133 Mal (!) schneller als dieses Quadsockel 500-Watt-System aus den Mittneunzigern. Und das schon mit Pentium II Overdrives, also mit 333 MHz CPUs aus dem Jahre 1998, wir reden hier nicht von Klamath sondern schon von Deschutes Kernen...

Also, der Speed mit dem sich die PC Welt in den 90ern bewegt hat, das sehen wir so wohl nie wieder. Das war Wahnsinn.

Zu Let's Encrypt: Gibt's jetzt eine reale "Magic Sauce", wo ich sage, ich haue alle Roots und Intermediates rein, und mein Whatever-it-is-right-now-Leaf, und es funktioniert einfach? Und wenn ja; Wie? Weil wie gezeigt geht es ja NED.

Oder muß ich mir das selber scripten? Oder MUSS das der ACMEv2 Client regeln?

Also was ich jetzt gesehen habe kann ich bei Crypt::LE zwischen den Root X1 und Root X2 Pfaden wechseln, das kann er. Aber welches Intermediate er dann spezifisch wählen soll kann ich ihm nicht vorgeben. Er hat zufällig heute wieder aktualisiert, und wieder isses R10 geworden. Ich stelle mein Renewal Shellscript jetzt einfach auf R10 um.

Und dann muß ich halt schauen wie ich mit OpenSSL auf der CLI beim Leaf Zert das zeichnende Intermediate auslesen kann, dann branche ich das Ausrollen halt auf zwei Codepfade. Gibt schlimmeres.

Edit: Ah, geht supereasy:

Code:

openssl x509 -in signed-leaf-certificate.pem -noout -issuer

Output:

Code:

issuer=C = US, O = Let's Encrypt, CN = R10

Damit kann man easy arbeiten.