SSL/TLS: Wo gibt es das Intermediate-Zertifikat?

Kennst du schon den Chatbot von Netcup? Der meint:

Zitat

Bitte nutze das Kontaktformular auf unserer Website https://www.netcup.com, um spezifische Fragen zum Intermediate Certificate für RapidSSL-Zertifikate zu klären.

Andere Frage:

Zitat von flomp

Ich habe ein RapidSSL-Wildcard-Zertifikat gekauft.

Warum?

Ich habe früher viele Zertifikate für meinen Arbeitgeber gekauft und normalerweise werden diese immer mitgeliefert oder Links angegeben. Wie es dann über einen Reseller wie netcup läuft, kann ich leider nicht beantwortet.

Falls du noch nicht weiter gekommen bist, kann ich dir die Seite https://chief.tools/certificate-chain-resolver empfehlen. Lade dort dein Zertifikat im PEM-Format hoch und das Tool versucht dir dann korrekte Chain ohne Root zu liefern.

Zitat von flomp

wo bekomme ich das Intermediate-Certificate her

Bist du sicher, dass es nicht mit in der Cert Datei bereits drin ist?

wenn RapidSSL zu DigiCert gehört (https://en.wikipedia.org/wiki/DigiCert), dann gibts die CA certs. vermutlich mindestens auf den digicert Webseiten oder bereits im lokalen CA truststore des BS bzw. jedem normalen Browser.

ansonsten, einfach den Issuer aus dem server cert. ausgeben lassen und danach googeln .. sollte ja irgendwo auftauchen. dann einfach das PEM oder DER herunterladen und mit "openssl verify -CAfile .." lokal probieren, ob das der korrekte signer des sercer certs. ist. da sollte im Besten Fall einfach ein langweiliges "OK" rauskommen.

https://stackoverflow.com/questions/2548…-openssl-verify oder so.

Tipp: ich würde niemals nie Zertifikate oder sonst irgendetwas irgendwo im Internet hochladen. auch wenn es nur public keys etc. sind! soetwas geht niemanden etwas an und man kann alle diese Dinge auch lokal testen (so wie das Browser etc. webclients auch tun)

HTH

Zitat von mrknoedelmann

Tipp: ich würde niemals nie Zertifikate oder sonst irgendetwas irgendwo im Internet hochladen... soetwas geht niemanden etwas an

Damit aber ein Zertifikat, also das ganze PKI Geraffel funktioniert, muss dein Browser aber auf das Zertifikat zugreifen können.

Hier das vom Forum, völlig öffentlich einsehbar.

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Zitat von mrknoedelmann

auch wenn es nur public keys etc. sind!

Ich glaube, du meinst private keys und ja, die sollte nicht im Netz landen, selbst wenn, können die Zertifikate widerrufen werden und werden in der Regel kostenfrei neu ausgestellt.

Zitat

Falls du noch nicht weiter gekommen bist, kann ich dir die Seite https://chief.tools/certificate-chain-resolver empfehlen. Lade dort dein Zertifikat im PEM-Format hoch

der Kontext war dieser ^ ^ und dazu meinte ich (persönlich), dass ich auf fremden Webseiten NICHTS hochlanden würde, auch keine public-keys, oder regexen oder auch nur irgendwelche Textdateien.

natürlich muss das Zertifikat endeffektiv in [m]einem Webserver landen, damit es funktioniert. aber für diesen Transfer nimmt man SCP o.ä. und insbesondere kein HTTP POST auf unbekannte Webseiten, die waswasich für cross-site-Zeugs, tracking-banner, java-script-ich-hol-mir-mal-noch-wasanderesvondeinem-Rechner-Kram benutzen.

Am Ende bietet es immer an, zu verstehen wie TLS Zertifikate etc. funktionieren. und d.h. das man sich selbst mit den Tools etc. beschäftigen muss, die damit in Verbindung stehen. wenn man TLS Zert. kauft ist man ja offensichtlich kein normaler (l)user mehr, sondern eher Admin.

man kann sein gekauftes Zert. auch in den eigenen Browser laden und dort nach dem Issuer schauen .. d.h. man braucht noch nicht mal fremde Tools. Ich bin einfach davon ausgegangen, dass es um ein GNU/Linux [server] geht .. dort würde ich (persönlich) openssl verwenden. ansonsten geht auch XCA https://hohnstaedt.de/xca/ wer es lieber grafisch lieber mag.

wäre jetzt noch spannend zu erfahren, ob flomp sein "Problem" nun gelöst hat.

Gruß!

Dass man möglichst viel lokal machen sollte, ist ja durchaus richtig und da stimme ich Dir sofort zu. Du scheinst hier aber dennoch eine Kleinigkeit zu verwechseln, wie bereits von twiddern korrekt angemerkt.

Zitat von mrknoedelmann

natürlich muss das Zertifikat endeffektiv in [m]einem Webserver landen, damit es funktioniert. aber für diesen Transfer nimmt man SCP o.ä. und insbesondere kein HTTP POST auf unbekannte Webseiten […]

Nur der Private Key soll und muss geschützt werden, das Zertifikat selbst (und somit der Public Key) wird sowieso 1:1 beim HTTPS-Verbindungsaufbau an den Client geschickt.

Zitat von mrknoedelmann

Am Ende bietet es immer an, zu verstehen wie TLS Zertifikate etc. funktionieren. […]

Ok