Unsere Exchange-Umgebung verwendet TLS-/SSL-Zertifikate von Sectigo.
Sectigo hat ihre Public Root CAs erneuert bzw. auf neue Root-Zertifikate umgestellt. Dadurch kann es bei älteren Betriebssystemen, Anwendungen oder Appliances zu Zertifikats- und TLS-Fehlern kommen, sofern die neue Root CA lokal nicht bekannt ist.
Betroffen sind insbesondere:
- ältere Windows-Versionen
- ältere Linux-Distributionen
- ältere Java-Versionen
- Legacy-Software mit eigenem Trust Store
Betroffene Root CA
Folgende Root CA muss im Trusted Root Store des Betriebssystems vorhanden sein:
| Feld | Wert |
|---|---|
| CA Name | Sectigo Public Server Authentication Root R46 |
| Serial Number | 75 8D FD 8B AE 7C 07 00 FA A9 25 A7 E1 C7 AD 14 |
| Ablaufdatum | 21.03.2046 23:59:59 |
Download Link Hersteller: https://crt.sh/?d=4256644734
Download Link ServerBase (selbes cert): fs.serverbase.ch
Ursache
Manchen Systeme fehlt dieses neuere Root CA teilweise im lokalen Trust Store.
Dadurch können folgende Probleme auftreten:
- TLS-/SSL-Verbindungen schlagen fehl
- Outlook-Verbindungsprobleme
- Zertifikatswarnungen
- „certificate not trusted“
- „unknown CA“
- SMTP-/IMAP-/POP3-TLS-Fehler
- ActiveSync-/EWS-Verbindungsprobleme
Lösung
Es muss sichergestellt werden, dass folgende Root CA im Trusted Root Store des Betriebssystems vorhanden ist:
Sectigo Public Server Authentication Root R46
Falls die Root CA fehlt, muss diese manuell oder über Systemupdates nachinstalliert werden.
Prüfung unter Windows
Zertifikatsspeicher öffnen
certlm.msc
Danach navigieren zu:
Trusted Root Certification Authorities
→ Certificates
Prüfen, ob folgendes Zertifikat vorhanden ist:
Sectigo Public Server Authentication Root R46
Installation unter iOS
iPhones mit iOS 16.5 vertrauen Sectigo-Zertifikaten nicht automatisch.
Die Unterstützung wurde erst ab iOS 17.7 eingeführt.
Zertifikat manuell importieren
Zertifikat aufs iPhone kopieren (z. B. via iCloud oder Mail)
Zertifikat öffnen und installieren:
Einstellungen → Allgemein → VPN & Geräteverwaltung
Danach als vertrauenswürdig markieren:
Einstellungen → Allgemein → Info → Zertifikatsvertrauenseinstellungen
Dort das installierte Zertifikat aktivieren.
Hinweise
Neuere Betriebssysteme besitzen die Root CA in der Regel bereits.
Manche Anwendungen (z. B. Java oder Appliances) verwenden eigene Trust Stores.
In solchen Fällen reicht ein Import ins Betriebssystem alleine unter Umständen nicht aus.
Sectigo stellt zusätzlich Cross-Signed Chains bereit, um ältere Systeme zu unterstützen. Dennoch wird empfohlen, die neue Root CA direkt lokal zu installieren.
Empfehlung
Alle betroffenen Systeme sollten:
- aktuelle Betriebssystemupdates erhalten
- aktuelle CA-Bundles verwenden
- regelmässig auf veraltete Trust Stores geprüft werden