Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung Nächste ÜberarbeitungBeide Seiten der Revision | ||
de:certificates [2019/04/16 13:30] – [Schritt 4 beim SP: Zertifikate für SAML-Kommunikation tauschen] Silke Meyer | de:certificates [2023/01/23 15:56] – [7. Alt und neu in der Konfiguration vertauschen] Silke Meyer | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
- | ====== Zertifikate für die SAML-basierte Kommunikation ====== | + | ====== Zertifikate ====== |
+ | |||
+ | ===== Zertifikate für die SAML-basierte Kommunikation ===== | ||
Bei der SAML-basierten Kommunikation zwischen IdP und SP werden Zertifikate zur Signatur-Validierung sowie zum Verschlüsseln eingesetzt. Diese Zertifikate müssen für die betreffende Entity in der [[de: | Bei der SAML-basierten Kommunikation zwischen IdP und SP werden Zertifikate zur Signatur-Validierung sowie zum Verschlüsseln eingesetzt. Diese Zertifikate müssen für die betreffende Entity in der [[de: | ||
+ | <callout color="# | ||
**Generell gilt:** Entities mit ungültigen, | **Generell gilt:** Entities mit ungültigen, | ||
+ | </ | ||
- | ===== Informationen für Identity Provider / Attribute Authorities | + | ==== Informationen für Identity Provider / Attribute Authorities ==== |
- | Siehe unter [[de:shibidp3prepare-zert# | + | Siehe unter [[de:shibidp: |
- | ===== Informationen für Service Provider | + | ==== Informationen für Service Provider ==== |
Unabhängig davon, welche der u.g. Varianten zum Einsatz kommen, müssen das für die SAML-basierte Kommunikation verwendete Zertifikat und der zugehörige Private Key in der SP-Konfiguration hinterlegt werden. Beim Shibboleth SP ist dies das Element '' | Unabhängig davon, welche der u.g. Varianten zum Einsatz kommen, müssen das für die SAML-basierte Kommunikation verwendete Zertifikat und der zugehörige Private Key in der SP-Konfiguration hinterlegt werden. Beim Shibboleth SP ist dies das Element '' | ||
- | ==== Zertifikate der DFN-PKI ==== | ||
- | Wenn Sie berechtigt sind, Zertifikate von der DFN-PKI zu beantragen, wählen Sie bei der Beantragung bitte das Profil " | ||
- | ==== Zertifikate gängiger Zertifizierungsstellen ==== | ||
- | Alternativ können Sie Zertifikate von CAs nutzen, die in den gängigen Standardbrowsern (Google Chrome, Firefox, Microsoft Edge) vorinstalliert sind und deren Gültigkeitsdauer maximal 825 Tage beträgt. \\ | ||
- | ==== Selbst-signierte Zertifikate | + | === Zertifikate der DFN-PKI bzw. DFN-Verein Community PKI=== |
- | Die dritte Möglichkeit ist die Verwendung von selbst-signierten Zertifikaten mit einer Gültigkeitsdauer von maximal 39 Monaten. Wir empfehlen zur korrekten Erstellung die Dokumentation der [[https:// | + | Für die SAML-basierte Kommunikation empfehlen sich **3 Jahre gültige Zertifikate aus der [[https:// |
- | * Stellen Sie uns dasselbe Zertifikat | + | Wenn Sie berechtigt sind, Zertifikate von der DFN-PKI zu beantragen, wählen Sie bei der Beantragung bitte das Profil " |
- | * Wenn Sie keine Möglichkeit haben, uns einen Download-Link zur Verfügung zu stellen, können Sie den Fingerprint des Server-Zertifikates telefonisch oder per Fax mit uns vergleichen. Kontaktieren Sie hierzu bitte die DFN-AAI Hotline | + | |
- | < | + | === Eigene/ |
- | $ openssl x509 -noout -fingerprint -sha1 -in self-signed-server-cert.pem | + | Für Zertifikate aus einer eigenen/ |
- | $ openssl x509 -noout -fingerprint -sha256 -in self-signed-server-cert.pem | + | |
- | </ | + | === Selbst-signierte Zertifikate === |
- | * Sie können | + | Die dritte Möglichkeit ist die Verwendung von selbst-signierten Zertifikaten mit einer Gültigkeitsdauer von maximal 39 Monaten. Wir empfehlen zur korrekten Erstellung die Dokumentation der [[https:// |
- | + | ||
- | < | + | === Zertifikate gängiger Zertifizierungsstellen === |
+ | Alternativ | ||
+ | |||
+ | < | ||
Eine Ausnahme von den o.g. Regeln gilt bei SPs, die bereits in anderen Föderationen (mit anderen Zertifikats-Policies) registriert sind. In diesem Fall können die dort verwendeten Zertifikate auch für die DFN-AAI genutzt werden, auch wenn diese länger gültig sind. | Eine Ausnahme von den o.g. Regeln gilt bei SPs, die bereits in anderen Föderationen (mit anderen Zertifikats-Policies) registriert sind. In diesem Fall können die dort verwendeten Zertifikate auch für die DFN-AAI genutzt werden, auch wenn diese länger gültig sind. | ||
</ | </ | ||
- | ==== Bitte nicht verwenden ==== | + | === Keine Wildcard-Zertifikate === |
- | + | ||
- | === Wildcard-Zertifikate === | + | |
Die Nutzung von Wildcards in Zertifikaten ist nur in begründeten Ausnahmefällen gestattet. | Die Nutzung von Wildcards in Zertifikaten ist nur in begründeten Ausnahmefällen gestattet. | ||
- | === Letsencrypt === | + | |
- | Für die Signierung und Verschlüsselung der SAML-Komunikation raten wir dringend von Letsenycrpt-Zertifikaten ab, da diese nur eine Gültigkeit von 90 Tagen haben. Ein Zertifikats-Rollover müsste jedes Mal manuell in der Metadatenverwaltung erfolgen. Auch die SP-Konfiguration muss beim Rollover 2x geändert werden. Wir empfehlen daher den Einsatz selbst-signierter Zertifikate. | + | === Keine Letsencrypt-Zertifikate |
+ | Für die Signierung und Verschlüsselung der SAML-Komunikation raten wir dringend von Letsenycrpt-Zertifikaten ab, da diese nur eine Gültigkeit von 90 Tagen haben. Ein Zertifikats-Rollover müsste jedes Mal manuell in der Metadatenverwaltung erfolgen. Auch die SP-Konfiguration muss beim Rollover 2x geändert werden. Wir empfehlen daher den Einsatz selbst-signierter Zertifikate | ||
**Nächster Schritt:** [[de: | **Nächster Schritt:** [[de: | ||
- | ===== Zertifikatstausch ===== | + | ===== Zertifikatstausch |
- | Für einen Zertifikatstausch am SP, sehen Sie bitte vorerst in der [[https:// | + | Vielen Dank an die Schweizer Kolleg*innen für die ausführliche englischsprachige |
- | Wenn Sie ablaufende Zertifikate | + | Wenn Sie ablaufende Zertifikate |
- | ==== Schritt | + | ==== 1. Was muss getauscht werden? ==== |
Stellen Sie fest, ob es um die Webserver-Zertifikate oder um die Zertifikate für die SAML-basierte Kommunikation geht. Das kann, muss aber nicht dasselbe Zertifikat sein. | Stellen Sie fest, ob es um die Webserver-Zertifikate oder um die Zertifikate für die SAML-basierte Kommunikation geht. Das kann, muss aber nicht dasselbe Zertifikat sein. | ||
- | ==== Schritt | + | ==== 2. Beschaffung/ |
+ | === DFN-PKI === | ||
+ | Bei Fragen zur Erstellung von privaten Schlüsseln und Zertifikatsanträgen, | ||
- | Bei Fragen zur Erstellung von privaten | + | * Sie können Ihren alten privaten |
- | + | ||
- | Geheimen | + | |
- | < | + | |
user@host: | user@host: | ||
</ | </ | ||
- | + | * Erstellen Sie einen Zertifikatsantrag (Certificate Signing Request, csr):< | |
- | Certificate Signing Request | + | |
- | + | ||
- | < | + | |
user@host: | user@host: | ||
# Sie werden Folgendes abgefragt, evtl. befüllt mit Vorgaben aus Ihrer / | # Sie werden Folgendes abgefragt, evtl. befüllt mit Vorgaben aus Ihrer / | ||
Zeile 71: | Zeile 70: | ||
An optional company name []: | An optional company name []: | ||
</ | </ | ||
+ | * Geben Sie diesen Zertifikatsantrag im .pem-Format bei der DFN-PKI ein. Wählen Sie das Profil " | ||
+ | * Sie bekommen Ihr neues Zertifikat per E-Mail von der DFN-PKI. | ||
- | Diesen csr im .pem-Format geben Sie bei der DFN-PKI ein. Wählen Sie das Profil " | + | === Sonstige Zertifizierungsstellen bzw. CAs === |
+ | Konsultieren | ||
- | ==== Schritt 3: Ggf. Zertifikat am Webserver tauschen ==== | + | === Selbst-signierte Zertifikate |
- | * Ersetzen Sie die alten, in der Webserverkonfiguration eingetragenen Dateien durch das neue Zertifikat, den privaten Schlüssel und die Zertifikatskette. | + | Selbst-signierte Zertifikate sind ausschließlich für die SAML-basierte Kommunikation geeignet! Sowohl Shibboleth IdP als auch Shibboleth SP werden mit einem '' |
+ | * [[https:// | ||
+ | * [[https:// | ||
+ | * [[https:// | ||
+ | |||
+ | ==== 3. Ggf. Zertifikat am Webserver tauschen ==== | ||
+ | * Ersetzen Sie die alten, in der Webserverkonfiguration eingetragenen Dateien durch das neue Zertifikat, den privaten Schlüssel und die Zertifikatskette. | ||
* Starten Sie den Webserver neu. | * Starten Sie den Webserver neu. | ||
- | ==== Schritt | + | ==== 4. Zertifikatswechsel auf dem IdP ==== |
- | * **Veröffentlichen | + | * Editieren Sie die Datei '' |
- | * Aktualisieren Sie Zertifikat und privaten Schlüssel | + | For key rollover, uncomment and point to your original keypair, and use the one above |
+ | to point to your new keypair. Once metadata has propagated, comment this one out again. | ||
+ | --> | ||
+ | |||
+ | <bean class=" | ||
+ | p: | ||
+ | p: | ||
+ | p: | ||
+ | </ | ||
+ | |||
+ | |||
+ | ==== 5. zweites Zertifikat | ||
+ | * Tragen | ||
+ | idp.signing.key= / | ||
+ | idp.signing.cert= / | ||
+ | idp.encryption.key= / | ||
+ | idp.encryption.cert= / | ||
+ | idp.encryption.key.2= / | ||
+ | idp.encryption.cert.2= / | ||
+ | </ | ||
* Starten Sie Tomcat neu. | * Starten Sie Tomcat neu. | ||
- | * Sollten Sie nach dem Rollover Probleme mit einzelnen anderen Systemen in der DFN-AAI oder in eduGAIN haben, kann es sich um temporäre Probleme handeln, die darauf zurückzuführen sind, dass nicht alle Teilnehmenden die Föderationsmetadaten bei sich im selben Intervall aktualisieren. | ||
- | ==== Schritt | + | ==== 6. Zertifikat für SAML-Kommunikation in Metadatenverwaltung eintragen ==== |
+ | <callout color="# | ||
+ | **Veröffentlichen Sie das neue Zertifikat mindestens 24 Stunden vor dem nächsten | ||
+ | </ | ||
+ | * Ein unterbrechungsfreier Betrieb ist nur möglich, wenn alle Service Provider weiterhin mit dem IdP kommunizieren können. Die SPs müssen sich vorab das neue Zertifikat aus den aktualisierten Föderationsmetadaten geholt haben. Besonders, wenn Sie an eduGAIN teilnehmen, müssen Sie davon ausgehen, dass manche SPs dies nur einmal pro Tag tun. | ||
+ | * Wenn Sie bei der Erstellung des Zertifikatsantrags denselben privaten Schlüssel verwendet haben, den Sie auch für das ablaufende Zertifikat verwendet haben, ist die Veröffentlichung des neuen Zertifikates in Metadaten nicht so zeitkritisch. Das können Sie machen, wenn der Schlüssel nicht kompromittiert ist und nach wie vor den aktuellen technischen Anforderung entspricht. | ||
+ | |||
+ | ==== 7. Alt und neu in der Konfiguration vertauschen ==== | ||
+ | <callout color="# | ||
+ | **Nach diesem Schritt warten Sie bitte erneut mindestens 24 Stunden, bevor Sie weitermachen.** | ||
+ | </ | ||
+ | * Nachdem das neue Zertifikat sich über die Metadaten herumgesprochen hat, entfernen Sie das alte Zertifikat aus den Föderationsmetadaten. | ||
+ | * Tauschen Sie in '' | ||
+ | idp.signing.key= / | ||
+ | idp.signing.cert= / | ||
+ | idp.encryption.key= / | ||
+ | idp.encryption.cert= / | ||
+ | idp.encryption.key.2= / | ||
+ | idp.encryption.cert.2= / | ||
+ | </ | ||
+ | * Starten Sie Tomcat neu. | ||
+ | |||
+ | ==== 8. Alte Zertifikate für SAML-Kommunikation aus Konfiguration entfernen ==== | ||
+ | * Entfernen Sie das alte Zertifikat und den alten privaten Schlüssel aus der '' | ||
+ | idp.signing.key= / | ||
+ | idp.signing.cert= / | ||
+ | idp.encryption.key= / | ||
+ | idp.encryption.cert= / | ||
+ | </ | ||
+ | |||
+ | ==== 9. zweites Bean auskommentieren === | ||
+ | * Editieren Sie die Datei '' | ||
+ | For key rollover, uncomment and point to your original keypair, and use the one above | ||
+ | to point to your new keypair. Once metadata has propagated, comment this one out again. | ||
+ | --> | ||
+ | <!-- | ||
+ | <bean class=" | ||
+ | p: | ||
+ | p: | ||
+ | p: | ||
+ | --> | ||
+ | </ | ||
+ | * Starten Sie Tomcat neu. | ||
+ | |||
+ | ===== Zertifikatstausch am SP ===== | ||
+ | |||
+ | ==== 1. Was muss getauscht werden? ==== | ||
+ | |||
+ | Stellen Sie fest, ob es um die Webserver-Zertifikate oder um die Zertifikate für die SAML-basierte Kommunikation geht. Das kann, muss aber nicht dasselbe Zertifikat sein. | ||
+ | |||
+ | ==== 2. Beschaffung eines neuen Zertifikates ==== | ||
+ | === DFN-PKI === | ||
+ | Bei Fragen zur Erstellung von privaten Schlüsseln und Zertifikatsanträgen, | ||
+ | |||
+ | * Sie können Ihren alten privaten Schlüssel weiterverwenden, | ||
+ | user@host: | ||
+ | </ | ||
+ | * Erstellen Sie einen Zertifikatsantrag (Certificate Signing Request, csr):< | ||
+ | user@host: | ||
+ | # Sie werden Folgendes abgefragt, evtl. befüllt mit Vorgaben aus Ihrer / | ||
+ | Country Name (2 letter code) [DE]: | ||
+ | State or Province Name (full name) []: <== Bundesland | ||
+ | Locality Name (eg, city) []: <== Stadt | ||
+ | Organization Name (eg, company) []: < | ||
+ | Organizational Unit Name (eg, section) []: <== ggf. Abteilung o.ä. | ||
+ | Common Name (eg, YOUR name) []: | ||
+ | A challenge password []: | ||
+ | An optional company name []: | ||
+ | </ | ||
+ | * Geben Sie diesen Zertifikatsantrag im .pem-Format bei der DFN-PKI ein. Wählen Sie das Profil " | ||
+ | * Sie bekommen Ihr neues Zertifikat per E-Mail von der DFN-PKI. | ||
+ | |||
+ | === Sonstige Zertifizierungsstellen bzw. CAs === | ||
+ | Konsultieren Sie hierzu die Dokumentation des [[# | ||
+ | |||
+ | === Selbst-signierte Zertifikate === | ||
+ | Selbst-signierte Zertifikate sind ausschließlich für die SAML-basierte Kommunikation geeignet! Sowohl Shibboleth IdP als auch Shibboleth SP werden mit einem '' | ||
+ | * [[https:// | ||
+ | * [[https:// | ||
+ | * [[https:// | ||
+ | |||
+ | ==== 3. Ggf. Zertifikat am Webserver tauschen ==== | ||
+ | * Ersetzen Sie die alten, in der Webserverkonfiguration eingetragenen Dateien durch das neue Zertifikat, den privaten Schlüssel und die Zertifikatskette. (Unten auf dieser Seite ist erklärt, wie Sie die [[https:// | ||
+ | * Starten Sie den Webserver neu. | ||
+ | |||
+ | ==== 4. Zertifikate für SAML-Kommunikation tauschen ==== | ||
Im Gegensatz zum IdP ist beim SP zu beachten, dass der **SP vorübergehend beide Zertifikate bzw. Schlüssel benötigt**, | Im Gegensatz zum IdP ist beim SP zu beachten, dass der **SP vorübergehend beide Zertifikate bzw. Schlüssel benötigt**, | ||
- | * Legen Sie das neue Zertifikat, den privaten Schlüssel und ggf. die Zertifikatskette auf den Server. Fügen Sie sie **zusätzlich** in die SP-Konfiguration '' | + | * Legen Sie das neue Zertifikat, den privaten Schlüssel und ggf. die Zertifikatskette auf den Server. |
+ | # Benutzerkennung feststellen: | ||
+ | root@sp:~ # ps aux | grep shib | grep -v grep | ||
+ | _shibd | ||
+ | # Gruppenzugehörigkeiten nachschlagen: | ||
+ | root@sp:~ # id _shibd | ||
+ | uid=112(_shibd) gid=121(_shibd) groups=121(_shibd), | ||
+ | # Abgleich mit den neuen Dateien: | ||
+ | -rw-r--r-- 1 root root 3719 Mar 27 10:43 / | ||
+ | -rw-r----- 1 root ssl-cert 3243 Mar 27 10:43 / | ||
+ | </ | ||
+ | * Fügen Sie sie **zusätzlich** in die SP-Konfiguration '' | ||
< | < | ||
<!-- noch aktives altes Zertifikat --> | <!-- noch aktives altes Zertifikat --> | ||
< | < | ||
- | key="/ | + | key="/ |
- | certificate="/ | + | certificate="/ |
<!-- zusätzliches neues Zertifikat --> | <!-- zusätzliches neues Zertifikat --> | ||
< | < | ||
- | key="/ | + | key="/ |
- | certificate="/ | + | certificate="/ |
</ | </ | ||
- | * Prüfen Sie die SP-Konfiguration:< | + | * Prüfen Sie die SP-Konfiguration:< |
- | root@sp # shibd -tc / | + | root@sp:~ # shibd -tc / |
overall configuration is loadable, check console for non-fatal problems | overall configuration is loadable, check console for non-fatal problems | ||
</ | </ | ||
- | * Starten Sie den Dienst '' | + | * Starten Sie den Dienst '' |
- | * Der Zwischenstand ist nun folgender: Der Service Provider | + | * Der Zwischenstand ist nun folgender: Der Service Provider |
- | | + | <callout color="# |
+ | **Veröffentlichen Sie das neue Zertifikat zusätzlich zu dem alten Zertifikat in den Föderationsmetadaten und warten Sie 24 Stunden mit dem nächsten Schritt.** | ||
+ | </ | ||
+ | |||
+ | ==== 5. Zertifikate für SAML-Kommunikation tauschen ==== | ||
* Konfigurieren Sie den SP um, so dass das neue Zertifikat an erster Stelle steht:< | * Konfigurieren Sie den SP um, so dass das neue Zertifikat an erster Stelle steht:< | ||
< | < | ||
<!-- neues Zertifikat --> | <!-- neues Zertifikat --> | ||
< | < | ||
- | key="/ | + | key="/ |
- | certificate="/ | + | certificate="/ |
<!-- altes Zertifikat --> | <!-- altes Zertifikat --> | ||
< | < | ||
- | key="/ | + | key="/ |
- | certificate="/ | + | certificate="/ |
</ | </ | ||
- | * Prüfen Sie die SP-Konfiguration:< | + | * Prüfen Sie die SP-Konfiguration:< |
- | root@sp # shibd -tc / | + | root@sp:~ # shibd -tc / |
overall configuration is loadable, check console for non-fatal problems | overall configuration is loadable, check console for non-fatal problems | ||
</ | </ | ||
- | * Starten Sie den Dienst '' | + | * Starten Sie den Dienst '' |
- | ====== Die SSL-Zertifikatskette auf Ihrem Webserver | + | * Jetzt können Sie gleich das alte Zertifikat aus den Metadaten des SP herausnehmen. **Warten** Sie dann erneut bis zu 24 Stunden (sicher ist sicher), bis sich die Änderung in der DFN-AAI bzw. in eduGAIN herumgesprochen hat. |
+ | |||
+ | ==== 6. Zertifikate für SAML-Kommunikation tauschen ==== | ||
+ | |||
+ | * Entfernen Sie das alte Zertifikat aus der SP-Konfiguration, | ||
+ | < | ||
+ | <!-- neues Zertifikat --> | ||
+ | < | ||
+ | key="/ | ||
+ | certificate="/ | ||
+ | <!-- altes Zertifikat --> | ||
+ | < | ||
+ | < | ||
+ | key="/ | ||
+ | certificate="/ | ||
+ | --> | ||
+ | </ | ||
+ | * Prüfen Sie die SP-Konfiguration:< | ||
+ | root@sp:~ # shibd -tc / | ||
+ | overall configuration is loadable, check console for non-fatal problems | ||
+ | </ | ||
+ | * Starten Sie den Dienst '' | ||
+ | |||
+ | ==== Direkt verdrahtete IdPs/SPs ==== | ||
+ | Wenn Sie SPs an der DFN-AAI vorbei direkt mit Ihrem IdP verbunden haben, haben Sie die Metadaten von IdP und SP manuell im jeweils anderen hinterlegt. Diese Metadatensätze müssen sie prüfen und ggf. manuell aktualisieren, | ||
+ | |||
+ | |||
+ | |||
+ | ===== Die SSL-Zertifikatskette auf Ihrem Webserver ===== | ||
Die SSL-Konfiguration Ihres Webservers hat direkt nichts mit der Zertifikat-Konfiguration für SAML-basierte Kommunikation in der DFN-AAI zu tun. Da aber sowohl die Binding URLs über SSL/TLS abgesichert werden (https), als auch der Aufruf der im Browser angezeigten IdP-/ | Die SSL-Konfiguration Ihres Webservers hat direkt nichts mit der Zertifikat-Konfiguration für SAML-basierte Kommunikation in der DFN-AAI zu tun. Da aber sowohl die Binding URLs über SSL/TLS abgesichert werden (https), als auch der Aufruf der im Browser angezeigten IdP-/ | ||
- | ===== Einrichtung der vollständigen Zertifikatskette auf dem Webserver | + | ==== Einrichtung der vollständigen Zertifikatskette auf dem Webserver ==== |
* Sie benötigen in jedem Fall zunächst eine Datei mit dem privaten Schlüssel (Private Key), z.B. unter Linux / | * Sie benötigen in jedem Fall zunächst eine Datei mit dem privaten Schlüssel (Private Key), z.B. unter Linux / | ||
* Sie erstellen eine dritte Datei mit der kompletten Zertifikatskette. z.B. / | * Sie erstellen eine dritte Datei mit der kompletten Zertifikatskette. z.B. / | ||
* Serverzertifikat | * Serverzertifikat | ||
- | * das/die Zwischenzertifikat(e) (Intermediate) | + | * das Zwischenzertifikat (Intermediate) |
- | * Root-Zertifikat der CA | + | |
Die Zertifikate werden in dieser Reihenfolge direkt untereinander gehängt. Dazwischen dürfen Kommentare eingefügt werden (mit "#" | Die Zertifikate werden in dieser Reihenfolge direkt untereinander gehängt. Dazwischen dürfen Kommentare eingefügt werden (mit "#" | ||
Zeile 145: | Zeile 299: | ||
* Wenn es ein weiteres Intermediate-Zertifikat gibt, vergleichen Sie obigen Issuer-Hash mit dem Hash des zweiten Intermediate-Zertifikates und so weiter. Auf diese Weise arbeiten Sie sich durch die Kette " | * Wenn es ein weiteres Intermediate-Zertifikat gibt, vergleichen Sie obigen Issuer-Hash mit dem Hash des zweiten Intermediate-Zertifikates und so weiter. Auf diese Weise arbeiten Sie sich durch die Kette " | ||
- | Beim Apache Webserver wird der Pfad zu dieser Datei als '' | + | Beim Apache Webserver wird der Pfad zu dieser Datei als '' |
- | ===== Überprüfung der Zertifikatskette | + | ==== Überprüfung der Zertifikatskette ==== |
Wenn Sie Ihre Zertifikatskette hinlegt, die Webserver-Konfiguration angepasst und aktiviert haben, können Sie sie mit OpenSSL zur Überprüfung abfragen: | Wenn Sie Ihre Zertifikatskette hinlegt, die Webserver-Konfiguration angepasst und aktiviert haben, können Sie sie mit OpenSSL zur Überprüfung abfragen: | ||
Zeile 153: | Zeile 307: | ||
$ openssl s_client -connect idp.domain.tld: | $ openssl s_client -connect idp.domain.tld: | ||
</ | </ | ||
- | Unten sehen als Beispiel die Antwort des Webservers von dfn.de. Alternativ können Sie externe Dienste wie z.B. die Website von [[https:// | + | Unten sehen als Beispiel die Antwort des Webservers von wayf.aai.dfn.de. Alternativ können Sie externe Dienste wie z.B. die Website von [[https:// |
< | < | ||
- | $ openssl s_client -connect dfn.de:443 | + | $ openssl s_client -connect |
CONNECTED(00000003) | CONNECTED(00000003) | ||
depth=3 C = DE, O = T-Systems Enterprise Services GmbH, OU = T-Systems Trust Center, CN = T-TeleSec GlobalRoot Class 2 | depth=3 C = DE, O = T-Systems Enterprise Services GmbH, OU = T-Systems Trust Center, CN = T-TeleSec GlobalRoot Class 2 | ||
Zeile 164: | Zeile 318: | ||
depth=1 C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Global Issuing CA | depth=1 C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Global Issuing CA | ||
verify return:1 | verify return:1 | ||
- | depth=0 C = DE, ST = Berlin, L = Berlin, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = Geschaeftsstelle, CN = cloud.dfn.de | + | depth=0 C = DE, ST = Berlin, L = Berlin, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., CN = wayf.aai.dfn.de |
verify return:1 | verify return:1 | ||
--- | --- | ||
Certificate chain | Certificate chain | ||
- | 0 s:/C=DE/ST=Berlin/L=Berlin/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./ | + | 0 s:C = DE, ST = Berlin, L = Berlin, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., CN = wayf.aai.dfn.de |
- | i:/C=DE/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./OU=DFN-PKI/CN=DFN-Verein Global Issuing CA | + | i:C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Global Issuing CA |
- | 1 s:/C=DE/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./OU=DFN-PKI/CN=DFN-Verein Global Issuing CA | + | |
- | i:/C=DE/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./OU=DFN-PKI/CN=DFN-Verein Certification Authority 2 | + | |
- | 2 s:/C=DE/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./OU=DFN-PKI/CN=DFN-Verein Certification Authority 2 | + | 1 s:C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Global Issuing CA |
- | i:/C=DE/O=T-Systems Enterprise Services GmbH/OU=T-Systems Trust Center/CN=T-TeleSec GlobalRoot Class 2 | + | i:C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Certification Authority 2 |
+ | | ||
+ | | ||
+ | 2 s:C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Certification Authority 2 | ||
+ | i:C = DE, O = T-Systems Enterprise Services GmbH, OU = T-Systems Trust Center, CN = T-TeleSec GlobalRoot Class 2 | ||
+ | | ||
+ | | ||
--- | --- | ||
Server certificate | Server certificate | ||
-----BEGIN CERTIFICATE----- | -----BEGIN CERTIFICATE----- | ||
- | MIILADCCCeigAwIBAgIMH1sBXceqcYtKUpghMA0GCSqGSIb3DQEBCwUAMIGNMQsw | + | MIII9jCCB96gAwIBAgIMJxwuQghQ6vPgo0CGMA0GCSqGSIb3DQEBCwUAMIGNMQsw |
CQYDVQQGEwJERTFFMEMGA1UECgw8VmVyZWluIHp1ciBGb2VyZGVydW5nIGVpbmVz | CQYDVQQGEwJERTFFMEMGA1UECgw8VmVyZWluIHp1ciBGb2VyZGVydW5nIGVpbmVz | ||
IERldXRzY2hlbiBGb3JzY2h1bmdzbmV0emVzIGUuIFYuMRAwDgYDVQQLDAdERk4t | IERldXRzY2hlbiBGb3JzY2h1bmdzbmV0emVzIGUuIFYuMRAwDgYDVQQLDAdERk4t | ||
- | UEtJMSUwIwYDVQQDDBxERk4tVmVyZWluIEdsb2JhbCBJc3N1aW5nIENBMB4XDTE4 | + | UEtJMSUwIwYDVQQDDBxERk4tVmVyZWluIEdsb2JhbCBJc3N1aW5nIENBMB4XDTIy |
- | MDcwMzE0MTAyNloXDTIwMTAwNTE0MTAyNlowgagxCzAJBgNVBAYTAkRFMQ8wDQYD | + | MDgxNzA5MTEyMFoXDTIzMDkxNzA5MTEyMFowgZAxCzAJBgNVBAYTAkRFMQ8wDQYD |
VQQIDAZCZXJsaW4xDzANBgNVBAcMBkJlcmxpbjFFMEMGA1UECgw8VmVyZWluIHp1 | VQQIDAZCZXJsaW4xDzANBgNVBAcMBkJlcmxpbjFFMEMGA1UECgw8VmVyZWluIHp1 | ||
ciBGb2VyZGVydW5nIGVpbmVzIERldXRzY2hlbiBGb3JzY2h1bmdzbmV0emVzIGUu | ciBGb2VyZGVydW5nIGVpbmVzIERldXRzY2hlbiBGb3JzY2h1bmdzbmV0emVzIGUu | ||
- | IFYuMRkwFwYDVQQLDBBHZXNjaGFlZnRzc3RlbGxlMRUwEwYDVQQDDAxjbG91ZC5k | + | IFYuMRgwFgYDVQQDDA93YXlmLmFhaS5kZm4uZGUwggIiMA0GCSqGSIb3DQEBAQUA |
- | Zm4uZGUwggIiMA0GCSqGSIb3DQEBAQUAA4ICDwAwggIKAoICAQDa+P1wLGUrtzxK | + | A4ICDwAwggIKAoICAQDTgelyxRfx9V5DF5tNGrWEud9NAKFLJ6AtT2sH9k+9hIUb |
- | Rdk8tD62eqjjVBoM1jfNVuajbVpj4DfiYMOwiejSZ0ZV5Yh/KHUR8qe5T/ | + | LQq2JsX9u8FpxMb8aE/g8aFmDkqqYqHAfkSW5Z8KvV++YS+TvJppBOQnXKx8JbIM |
- | MsbfycSL2BP2U0t6VwEQDdU9nTHMI7tZIUS9uSHEWRkggOrmR/THriocz1ozqdpg | + | OPi/PZblPerLXooBd30akjA3f+9PEX5Hb8ufl7p4JBPo1hJ8LE6tZi0aqoRElNJj |
- | VH1opFWFUs/ | + | me0iiu7eboF6AVyH0vYSC9NQs1dbJ7GnS4dfagYjWMquqmJnwvYIWCtCkNypsXeZ |
- | vcbpKdzdhaZVdgLlf6ZWkdGqGdfeztUOjzh10S7tkwNJBM/9gJQLbCfh+aifOhOk | + | MbEYmDGuI+K2+74j4p8gr2Y9odOK/Tx544R0VeYaMyl9xdje2eT78PScMl/0uHKF |
- | AqD3EMNk5SaXHsWohOYDO72SdlxwN+4O14t3LatfMv5PGQ9E++pUsNnauT6GuxEq | + | sR7rz9sVFOeCv5LxWAr+drzRMGZRaLPalJWGulhVgCO9y0/ |
- | VJyz3vr284FRcw8W7R1bExqF1ICfi9E7THwwvDYeZue2tl8Ki6f5ZP83t9pJdVuj | + | 4R6Pie5Cj2Uo8LtMScCnFnj6kooZNTKetC+/zUeYxPpCpTJB3vtKuoImwY+BY9Fa |
- | JxrHRwRxpY5vdFSjrU+xWj7/wiWShAM3AsIhIDgdV+Y9CoxLv1yYWxOmIP9E1iZM | + | HAqlD30LbRc16ULxI67+NH/pFbKfwlNVYp5X/wSN1UuU02BRLHvAeEcxuNlG50Mj |
- | kL8Ama38MDblJMoJPhE7Jr6o17mrTAr993/3TvIKGHx2kMEEEyoD/wdFjQPU0mYl | + | OI4etFfkI443cXnTB9EGkdAS/P6aOoh3A2BhtXRFkQ5udbNYe2SCRXpZ+m+4XOIy |
- | JWM4bmdISLI73wkf8UTvnYR/7VERRXNUZG+gGqek51ax4CLrS/ | + | ZEzpvB0d3L+nKKjJ5qJVnCcOqWNb8wn2INtxSpFU7Vdcm16zeXsRh7SjcYQqdeh6 |
- | A+0Bwzwaa+jHl1nrCtbVQUnc6F2qn8BsviqbWstA1/RT7VMRq9pCq0VNwxSL3cyT | + | v761ePDMy3ERYyyrtKJh7Lp+YD1Jjw100X0axMwUb/oz41KjA8qTvRkn5YSIZwID |
- | PwK0LFnh5FVOQyXy27v6xMpqnD4E0wIDAQABo4IGQTCCBj0wWQYDVR0gBFIwUDAI | + | AQABo4IETzCCBEswVwYDVR0gBFAwTjAIBgZngQwBAgIwDQYLKwYBBAGBrSGCLB4w |
- | BgZngQwBAgIwDQYLKwYBBAGBrSGCLB4wDwYNKwYBBAGBrSGCLAEBBDARBg8rBgEE | + | DwYNKwYBBAGBrSGCLAEBBDAQBg4rBgEEAYGtIYIsAQEECjAQBg4rBgEEAYGtIYIs |
- | AYGtIYIsAQEEAwgwEQYPKwYBBAGBrSGCLAIBBAMIMAkGA1UdEwQCMAAwDgYDVR0P | + | AgEECjAJBgNVHRMEAjAAMA4GA1UdDwEB/ |
- | AQH/BAQDAgWgMBMGA1UdJQQMMAoGCCsGAQUFBwMBMB0GA1UdDgQWBBQ26+9hXeqO | + | BQcDATAdBgNVHQ4EFgQUrrmPRRWUYepArAkbkrf8yvHli9wwHwYDVR0jBBgwFoAU |
- | HzSRjAWBkkRU380gVDAfBgNVHSMEGDAWgBRrOpiL+fJTidrgrbIyHgkf6Ko7dDAp | + | azqYi/nyU4na4K2yMh4JH+iqO3QwGgYDVR0RBBMwEYIPd2F5Zi5hYWkuZGZuLmRl |
- | BgNVHREEIjAgghB3d3cuY2xvdWQuZGZuLmRlggxjbG91ZC5kZm4uZGUwgY0GA1Ud | + | MIGNBgNVHR8EgYUwgYIwP6A9oDuGOWh0dHA6Ly9jZHAxLnBjYS5kZm4uZGUvZGZu |
- | HwSBhTCBgjA/oD2gO4Y5aHR0cDovL2NkcDEucGNhLmRmbi5kZS9kZm4tY2EtZ2xv | + | LWNhLWdsb2JhbC1nMi9wdWIvY3JsL2NhY3JsLmNybDA/oD2gO4Y5aHR0cDovL2Nk |
- | YmFsLWcyL3B1Yi9jcmwvY2FjcmwuY3JsMD+gPaA7hjlodHRwOi8vY2RwMi5wY2Eu | + | cDIucGNhLmRmbi5kZS9kZm4tY2EtZ2xvYmFsLWcyL3B1Yi9jcmwvY2FjcmwuY3Js |
- | ZGZuLmRlL2Rmbi1jYS1nbG9iYWwtZzIvcHViL2NybC9jYWNybC5jcmwwgdsGCCsG | + | MIHbBggrBgEFBQcBAQSBzjCByzAzBggrBgEFBQcwAYYnaHR0cDovL29jc3AucGNh |
- | AQUFBwEBBIHOMIHLMDMGCCsGAQUFBzABhidodHRwOi8vb2NzcC5wY2EuZGZuLmRl | + | LmRmbi5kZS9PQ1NQLVNlcnZlci9PQ1NQMEkGCCsGAQUFBzAChj1odHRwOi8vY2Rw |
- | L09DU1AtU2VydmVyL09DU1AwSQYIKwYBBQUHMAKGPWh0dHA6Ly9jZHAxLnBjYS5k | + | MS5wY2EuZGZuLmRlL2Rmbi1jYS1nbG9iYWwtZzIvcHViL2NhY2VydC9jYWNlcnQu |
- | Zm4uZGUvZGZuLWNhLWdsb2JhbC1nMi9wdWIvY2FjZXJ0L2NhY2VydC5jcnQwSQYI | + | Y3J0MEkGCCsGAQUFBzAChj1odHRwOi8vY2RwMi5wY2EuZGZuLmRlL2Rmbi1jYS1n |
- | KwYBBQUHMAKGPWh0dHA6Ly9jZHAyLnBjYS5kZm4uZGUvZGZuLWNhLWdsb2JhbC1n | + | bG9iYWwtZzIvcHViL2NhY2VydC9jYWNlcnQuY3J0MIIB9AYKKwYBBAHWeQIEAgSC |
- | Mi9wdWIvY2FjZXJ0L2NhY2VydC5jcnQwggPVBgorBgEEAdZ5AgQCBIIDxQSCA8ED | + | AeQEggHgAd4AdgCt9776fP8QyIudPZwePhhqtGcpXc+xDCTKhYY069yCigAAAYKr |
- | vwB2AG9Tdqwx8DEZ2JkApFEV/ | + | EmbRAAAEAwBHMEUCIQDSmTwCWlCZATCfLURkGOxyR6pgKvj4d+TlKaMPXifttQIg |
- | AEcwRQIgd3fkPk9o74LcUBwTHWvxvDX+35MBVGxA2jlWAw0jWukCIQCVzbfAhRKW | + | JOOE+3NXWghkYUJ36/Q+vSbxeRlS5FACic+kyzbAyQUAdQDoPtDaPvUGNTLnVyi8 |
- | 9xj9kkeSrdllFa91l/y4FkOoYuu6DdT+KwB2AO5Lvbd1zmC64UJpH6vhnmajD35f | + | iWvJA9PL0RFr7Otp4Xd9bQa9bgAAAYKrEmhKAAAEAwBGMEQCIDHPHuRKGYvrzd69 |
- | sHLYgwDEe4l6qP3LAAABZGB6+GoAAAQDAEcwRQIhANvki+irHTEFedCKATceIstB | + | GBjuuuPfW3PGKOvY5yPd47ulHifCAiAfmBQHB5LIex3DO17m3aQlT+cgV01eLykK |
- | cOg92i2BnZZ2gsqDvBZkAiAo2fCCAVVhNsyCrjeAYQXR+5WoeICO1hVDzO82oNb7 | + | EjF1mtq9qwB2AG9Tdqwx8DEZ2JkApFEV/3cVHBHZAsEAKQaNsgiaN9kTAAABgqsS |
- | 6wB1AFWB1MIWkDYBSuoLm1c8U/DA5Dh4cCUIFy+jqh0HE9MMAAABZGB6+LoAAAQD | + | ZMUAAAQDAEcwRQIhAJ3/1gN+37V04DsHihKJH0Ireh04yaOHx3EWnqLXsaGMAiBy |
- | AEYwRAIgP0Q4ASg+6/5JC1htaQM9yD7SQh77mrwUvC38HZgZlOsCIDiWF+hENcnT | + | 8/C02kJgI5SLeFlJZghoIIT2rqy/iu8M8v+F0Cnq2wB1AFWB1MIWkDYBSuoLm1c8 |
- | scbdWGd1I7aQhKXcWIQ/9XCY/Inh/ | + | U/DA5Dh4cCUIFy+jqh0HE9MMAAABgqsSZTQAAAQDAEYwRAIgDY0Wn4W8l8W7Jw8T |
- | U1WJsvd6AwEE880AAAFkYHr3iwAABAMASDBGAiEA6e4Sbrb9UH7hJMSbmB7YPsl8 | + | cy8rYjYCDc8j/opI+EsDK8+Q4OMCICGxPKaWwV04+7QOh5bdi0vNgm38V9RHP9F/ |
- | ANyLI+ymp5zfrz6LteYCIQCmg1hM2yeZGESX7fGCJLohoNLj5ahCJCNazXTyNPQW | + | ps1wheNyMA0GCSqGSIb3DQEBCwUAA4IBAQBsn0WeEePbkHi0/RRCzFS8HDg4AIXV |
- | GAB2ALvZ37wfinG1k5Qjl6qSe0c4V5UKq1LoGpCWZDaOHtGFAAABZGB6+qoAAAQD | + | nk7R3x0XsgnHFpMJEM2mRJlMJrjYNjYa/X6ynsXg78yGqRvPhdqRX1oqUI1lDaLa |
- | AEcwRQIhAKwv448AaBJTi+/Vz3X7fd0jj3xnWh/ | + | Znj9+ZMfcfcTaDL74yE0jTbPGz4ayBA7dJJ9w2kSKwF0Mc0VLYNfuekSmqQJ1i4G |
- | vTMdhuzwA507K/ | + | T1Z6ThTm3gNdv5tOnhImwOVYT62BwyzY6/wB4dPo32R9hdQjMETh9oREQ4NyKXPw |
- | hKESEoQYdZaBcUVYAAABZGB6+1wAAAQDAEcwRQIgDsXtQFLwZyY0r9wiSiJzavqC | + | nrJ8a6vsyPKkyDjTh88AdxAdlozqXQrYC8/hGsbQcrdbSHxXuYAWF8ErW4HuZ+PZ |
- | 06XaTi46GccQu0S+zLQCIQCUZWgZPVq/lQHuaqEvAselE3diktVqFoeQMCI9xWuK | + | jiH9LG5qUw6EIvaYgiuxm8HVU4NOvF2cqwbtLfft1klxpqywN2jTIJEy |
- | bAB1AKS5CZC0GFgUh7sTosxncAo8NZgE+RvfuON3zQ7IDdwQAAABZGB6+v0AAAQD | + | |
- | AEYwRAIgZLf0wwR8C5ZHxC7ulDIELpD9HH1osZnWHifnNl3pm+gCIEH6Gaua3Ajw | + | |
- | A3UKVZIyCcHvz9WZcxDjeCSdKwnp7l7SAHYAsh4FzIuizYogTodm+Su5iiUgZ2va | + | |
- | +nDnsklTLe+LkF4AAAFkYHr50QAABAMARzBFAiEA/BXqVMfACv8Qw4WCyHMqLkK4 | + | |
- | fcZDVvTeKT1tGGVdSOYCICjbxC1/Da5WUmOT8qegrULrn+S3L3zEG9z/ | + | |
- | MA0GCSqGSIb3DQEBCwUAA4IBAQA89lw9hf3GUonrM10rvyEY3LmnrCcopSaPmmZ2 | + | |
- | FUkXLjDvRLY5ZDz3QCxdB5Hpvd3TFquVw4c3txpzy+lK6eUFEOd8oueyjiFKr8Up | + | |
- | a1zMbuIIi/8/ | + | |
- | WG1k2UmmZGU6M9/SrathKRBS8zXMPHM8Pi4P8O+30Q7lYxVWK8+BoM8nGlp8AfSl | + | |
- | jipzpp8akIAhs1KnXFEg93Lz+13hrKciPTQg+RPQEYBnLi6+m49VbjYXzssgbAg/ | + | |
- | 4wvpsOXAr0oxEHrg1NBax0xdcWQwdX2guinJ1l3h0X9AwZAa | + | |
-----END CERTIFICATE----- | -----END CERTIFICATE----- | ||
- | subject=/C=DE/ST=Berlin/L=Berlin/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./ | + | subject=C = DE, ST = Berlin, L = Berlin, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., CN = wayf.aai.dfn.de |
- | issuer=/C=DE/O=Verein zur Foerderung eines Deutschen Forschungsnetzes e. V./OU=DFN-PKI/CN=DFN-Verein Global Issuing CA | + | issuer=C = DE, O = Verein zur Foerderung eines Deutschen Forschungsnetzes e. V., OU = DFN-PKI, CN = DFN-Verein Global Issuing CA |
--- | --- | ||
No client certificate CA names sent | No client certificate CA names sent | ||
- | Peer signing digest: | + | Peer signing digest: |
- | Server Temp Key: DH, 4096 bits | + | Peer signature type: RSA-PSS |
+ | Server Temp Key: X25519, 253 bits | ||
--- | --- | ||
- | SSL handshake has read 7480 bytes and written | + | SSL handshake has read 5882 bytes and written |
Verification: | Verification: | ||
--- | --- | ||
- | New, TLSv1.2, Cipher is DHE-RSA-AES256-GCM-SHA384 | + | New, TLSv1.3, Cipher is TLS_AES_256_GCM_SHA384 |
Server public key is 4096 bit | Server public key is 4096 bit | ||
- | Secure Renegotiation IS supported | + | Secure Renegotiation IS NOT supported |
Compression: | Compression: | ||
Expansion: NONE | Expansion: NONE | ||
No ALPN negotiated | No ALPN negotiated | ||
+ | Early data was not sent | ||
+ | Verify return code: 0 (ok) | ||
+ | --- | ||
+ | --- | ||
+ | Post-Handshake New Session Ticket arrived: | ||
SSL-Session: | SSL-Session: | ||
- | Protocol | + | Protocol |
- | Cipher | + | Cipher |
- | Session-ID: | + | Session-ID: |
Session-ID-ctx: | Session-ID-ctx: | ||
- | | + | |
PSK identity: None | PSK identity: None | ||
PSK identity hint: None | PSK identity hint: None | ||
SRP username: None | SRP username: None | ||
- | TLS session ticket lifetime hint: 300 (seconds) | + | TLS session ticket lifetime hint: 7200 (seconds) |
TLS session ticket: | TLS session ticket: | ||
- | 0000 - d0 92 ff 13 a3 e8 cd 3f-a3 0f 55 57 47 fa d4 9d .......?..UWG... | + | 0000 - 83 6b 3a c5 50 ec c5 be-ab d4 49 ed 95 80 48 21 .k:.P.....I...H! |
- | 0010 - cf 72 55 cb 48 3c b4 67-26 10 37 8d db 1e 40 f7 | + | 0010 - 4d c7 ff 8f 8d 0c cb 63-a4 1d 11 9f 7b 86 0c 65 |
- | 0020 - 4a 6f cc 57 6c 02 74 6d-f9 d7 a6 8c d0 2a d7 f9 | + | |
- | 0030 - 50 67 6f 4a 63 44 73 64-66 d9 86 0f 19 fa 68 fe | + | |
- | 0040 - 7c 67 7e 9c 18 13 07 26-84 e9 6f 60 2a a5 5c 70 | + | |
- | 0050 - 70 6d e8 a5 56 11 67 2d-3c 5d 44 b6 5b ef 06 12 | + | |
- | 0060 - 27 dd 0d 10 4b 0a c1 04-98 2b 1b 03 c5 e0 7b 25 ' | + | |
- | 0070 - 0e b1 3c 7c 05 68 48 2a-32 80 aa 69 92 bd 7f 52 | + | |
- | 0080 - 4d 1a 81 f0 8b 2a 2c c3-00 12 13 c3 65 7a df 37 M....*,.....ez.7 | + | |
- | 0090 - 13 4b 22 03 70 a3 56 5d-ba 16 58 0e 15 cf 07 e5 | + | |
- | 00a0 - 2c f8 69 70 52 de e9 4e-4e cc 87 cd 0d 2f a9 56 , | + | |
- | 00b0 - 2b 92 2d 6f 10 0b 44 7a-81 0d d4 5f 7a 47 7e 0d | + | |
- | Start Time: 1555333603 | + | Start Time: 1673270213 |
Timeout | Timeout | ||
Verify return code: 0 (ok) | Verify return code: 0 (ok) | ||
Extended master secret: no | Extended master secret: no | ||
+ | Max Early Data: 0 | ||
--- | --- | ||
- | read:errno=0 | + | read R BLOCK |
+ | --- | ||
+ | Post-Handshake New Session Ticket arrived: | ||
+ | SSL-Session: | ||
+ | Protocol | ||
+ | Cipher | ||
+ | Session-ID: F0E581A89E7A0103398D4984082F5967E5B26079DD86D41499719A72237B3A2D | ||
+ | Session-ID-ctx: | ||
+ | Resumption PSK: 0EED21E37A6873AC74CEE4F17DFD953850966D0AC73CD2B76FDA0C8995052DB66D489DCD07E464E492755BC8212ACD3B | ||
+ | PSK identity: None | ||
+ | PSK identity hint: None | ||
+ | SRP username: None | ||
+ | TLS session ticket lifetime hint: 7200 (seconds) | ||
+ | TLS session ticket: | ||
+ | 0000 - a8 d0 1b 2e ca e6 70 cb-61 72 45 45 b7 e4 76 3e | ||
+ | 0010 - f7 59 ad 02 e7 8a 50 39-11 a7 81 8a 78 36 6b d6 | ||
+ | |||
+ | Start Time: 1673270213 | ||
+ | Timeout | ||
+ | Verify return code: 0 (ok) | ||
+ | Extended master secret: no | ||
+ | Max Early Data: 0 | ||
+ | --- | ||
+ | read R BLOCK | ||
</ | </ | ||
- | **Nächster Schritt:** [[de: | + |