Möchte ich mit Safari auf eine Seite mit selbst erstelltem SSL-Zertifakt gehen, kommt folgende Fehlermeldung:
In der Konsole finde ich passend dazu folgenden Eintrag:
Normalerweiße kommt in diesem Fall doch ein Dialog welcher mich fragt ob ich dem Zertifikat vertrauen möchte oder nicht: Wo dieser Dialog bleibt, ist mir ein Rätsel!

Wenn ich mit Firefox die selbe Seite besuche, das Zertifkat herunterlade, in meinen Anmelde Schlüsselbund hinzufüge und als vertrauenswürdig einstufe, funktioniert der Seitenaufbau auch in Safari wieder, nur ist das ziemlich umständlich...

Hat jemand eine Idee, wie ich das wieder hinbiegen kann? Ich bin mit meinem Latein erst mal am Ende...

Was passiert, wenn du https://ccc.de aufrufst?

Das Problem ist nicht, dass das Zertifikat selbstsigniert ist, sondern dass es am 13.02.2014 abgelaufen ist. Am besten mal den Server-Admin informieren...

+1

Firefox sagt zu der Seite bzw. dem Zertifikat:


Wie ahuebenett zuvor schon gesagt hat: den zuständigen Admin informieren, dass er das Zertifikat erneuert. Firefox gibt Dir per wahlweise anklickbarer Ausnahmeregelung (Ausnahmen hinzufügen) die Möglichkeit an die Hand, diesem jetzigen abgelaufenen Zertifikat vorübergehend trotzdem zu vertrauen und es einer lokal für diesen Firefox-Nutzer in seinem Firefox-Nutzerprofil geführten Ausnahmeliste zuzuführen (nicht ohne Dich vorher und währenddessen auch nochmal über das Risiko und die möglichen Folgen entsprechend aufgeklärt zu haben), einsehbar und verwaltbar in den Firefox-Einstellungen unter Erweitert Zertifikate Zertifikate anzeigen Server.

Oder Du machst es für den vorübergehenden Einsatz, solange dieses Zertifikat abgelaufen und ungültig so, wie Du bereits gemacht hast: Du exportierst es von Firefox aus und importierst es in Deinen Mac-Schlüsselbund (auf den auch Safari Zugriff hat) und weist ihn dann an, diesem Zertifikat immer zu vertrauen.

Trotzdem würde ich das nur vorübergehend gewähren und nur vorübergehend so lassen, und der eigentlich richtige und notwendige Schritt ist, den betreffenden Admin der Uni-Seite zu informieren und ihn zu bitten, ein neues, gültiges Zertifikat online zu stellen.

Entschuldigung, der Screenshot mit der Uni Regensburg ist nur im Internet "geklaut" das hat nichts mit meinem Zertifikat zu tun, sorry dass das verwirrt hat, wollte nur den Dialog zeigen welchen ich erwartet hätte.

Es ist mein eigener Server, mit meinem eigenen Zertifikat, welches ganz sicher nicht abgelaufen ist... Nur eben von keiner Root CA signiert...

Du hast meine Frage noch nicht beantwortet...

Sorry, ich war unterwegs, habe vom Handy aus geschrieben...

In dem Fall von https://ccc.de erscheint ganz normal der Dialog mit "Zertifikat einblenden, Abrrechen, Fortfahren"...

Jetzt verstehe ich noch weniger

Wenn es bei dir mit Safari nicht geht, hast du es schon mit Firefox oder anderen Browsern probiert? Odder mal von einem anderen Benutzer aus getestet.

Sowohl Firefox (wie im Startpost geschrieben) funktioniert als auch der Seitenaufbau mit Safari unter einem anderen Benutzer...

Das Löschen (und damit neu anlegen lassen) von ~/Safari hilft auch nicht...

Es könnten die Trust Settings der Zertifikate in einem Schlüsselbund auf andere Werte als "System Default" gesetzt sein und die Abfrage so unterdrückt werden.

Ich habe nur einige wenige als Vertrauenswürdig markiert, alle anderen stehen auf SystemDefault und sind als "gültig" angezeigt...

Na prima! Warum nicht gleich mit offenen Karten gespielt und gesagt, was wirklich Sache ist?

heise (24.02.2005): Vorsicht bei kostenlosen SSL-Zertifikaten

Auch zum SSL-Zertifikat des CCC wird in diesem, schon betagten Artikel was gesagt, offenbar hat er auch jetzt noch seine Gültigkeit bzw. an den Umständen hat sich nichts geändert.

Das SSL-Zertifikat vom CCC ist, wenn man sich das Zertifikat anschaut, ausgestellt und signiert von CAcert Inc. , http://www.CAcert.org, gültig vom 08.04.14 bis 07.04.16.

Die von CAcert ausgestellten Zertifikate gelten gemeinhin als nicht vertrauenswürdig, CAcert ist aufgrund fehlender Transparenz bei verschiedenen Software- und Browser-Herstellern unter denjenigen, die als nicht vertrauenswürdig eingestuft werden und deren Root-Zertifikate deshalb nicht standardmäßiger Bestandteil der betreffenden Web-Browser (Mozilla boykottiert CAcert Root-Zertifikate z.B. schon seit Jahren mangels Transparanz, mangels Vertrauenswürdigkeit) und Betriebssysteme sind bzw. aus diesen sogar verbannt worden sind:

Siehe dazu u.a. auch:

heise (27.03.2014): CAcert reagiert auf Zertifikatsrauswurf
Nach dem Rauswurf ihrer Stammzertifikate aus Debian-Linux zieht CAcert Konsequenzen: Ein interner Audit soll die Community-CA auf einen erneuten Anlauf vorbereiten, von Mozilla als vertrauenswürdige Certificate Authority (CA) anerkannt zu werden.

heise (24.03.2014): Debian (Ubuntu ebenso) verzichtet auf SSL-Root-Zertifikate von CAcert
Die Linux-Distribution Debian hat die SSL-Stammzertifikate von CAcert.org entfernt: Einige Entwickler bemängeln die Sicherheit und die Vertrauenswürdigkeit der Community-Zertifizierungsstelle, andere kritisieren Debians Schritt jedoch.


Wer einem solchen Stammzertifikat (Root-Zertifikat) bzw. einem darauf basierenden Zertifikat also vertraut und es trotzdem in seinen Keyring aufnimmt, der tut dies auf eigenes Risiko. Darauf hingewiesen von den Browsern wird er jedenfalls.

Und dass beim Zertifikat des CCC bei Dir dieser Dialog aufpoppt, der Dich genau das wie das eben Beschriebene fragt und bei Deinem von Dir selber erstellten Zertifikat hingegen nicht, legt die Vermutung nahe, dass Dein Zertifikat möglicherweise irgendwie fehlerhaft ist bzw. Du da möglicherweise irgendwas falsch gemacht hast dabei. Vielleicht Dein Zertifikat nochmal völlig neu erstellen?

Zudem: benutzt Du evtl. einen Proxy?

Außerdem: wie ist bzgl. des Umgangs mit Zertifikaten Dein Mac-Schlüsselbund (auf den Safari ja zugreift) konfiguriert (Schlüsselbundverwaltung Einstellungen Zertifikate), was hast Du da eingestellt?

Tipp dazu:

heise (25.03.2011): Tipp: Zertifikatüberprüfung in Safari aktivieren

Okay... ich habe es geschafft:

• Alle Zertifikate aus dem Anmeldungsschlüsselbund exportiert/gesichert

• Sschlüsselbundverwaltung => Einstellungen =>Meinen Standardschlüsselbund zurücksetzen

• Neustart

• Alle Zertifikate wieder importiert

Geht wieder...
Vielen dank all alle die mir geholfen haben!

sierkb: Danke für die Lektüre

Ergänzend:
Nur zur kurzen Erklärung, was die Kürzel bedeuten, die Dir da zur Auswahl stehen:
OCSP ist ein Protokoll, mit dem man online die Gültigkeit von Zertifikaten prüfen kann.
CRL sind "Certificate Revocation Lists": das Analogon zu OCSP, aber eben offline. OCSP lässt sich naturgemäß nur nutzen, wenn eine IP-Verbindung existiert. CRLs kann man, so zur Verfügung gestellt, runterladen (bzw. sie können auch per Software-Update bereitgestellt und manuell eingepflegt werden) und jederzeit verwenden. Allerdings sind sie spätestens dann, wenn das betreffende Gültigkeitsdatum abgelaufen ist oder ein neues Zertifikat zur Verfügung steht, veraltet.

Mr. Fuchs:

Na Gott sei Dank, dann ist der Tag ja gerettet! Und zumindest hier kommt passend dazu nun auch endlich wieder die Sonne raus (es hat vorhin sehr geschüttet).

Von mir auch noch ein Nachtrag, falls das mal jemand nachmacht:
Nicht nur die Zertifikate exportieren sondern alles was sich unter "Alle Objekte" findet, also auch Passwörter usw., sonst hat man danach eventuell ein echtes Problem...

Woran es wirklich lag, weiß ich jetzt allerdings immer noch nicht... Den Schlüsselbund einfach neu erstellen erscheint mir doch die Brecheisen-Methode zu sein...

Bzgl. Wetter: Bei mir scheint schon den ganzen Tag bei angenehmen 27°C die Sonne

Vielleicht hätte es schon gereicht den Schlüsselbund zu reparieren.

Habe ich zuvor ebenfalls versucht, erfolglos.

Hattest Du bevor der Schlüsselbund ins Spiel kam, also nach dem du das Zertifikat erstellt hast und in Apache installiert hast auch einen Neustart des Apache gemacht?

Das ist nämlich erforderlich...

Ja klar, mit Firefox / Chrome konnte ich ja auch ganz normal auf den Server zugreifen...