Let's Encrypt Zertifikat für die Nutzung in TIdServerIOHandlerSSLOpenSSL

[mjustin]

Zitat von Hobbycoder:

Meiner Meinung nach schon.
Hier mal die Dateien (leicht verändert, weil ich ja diese nicht öffentlich stellen möchte)

Das Server-Zertifikat (cert.pem, erster Block) ist fehlerhaft, wenn man es als -crt umbenennt und zu öffnen versuucht kommt die Fehlermeldung im Anhang ("Ungültige öffentlicher Schlüssel Sicherungsdatei").

Ist das auch "leicht verändert"? Das wäre nicht nötig, da es auf dem Web-Server ja immer öffentlich zugänglich wäre.

[Hobbycoder]

Zitat von mjustin:

Das wäre nicht nötig, da es auf dem Web-Server ja immer öffentlich zugänglich wäre.

Okay, das wusste ich nicht. Ja, das habe ich hier verändert im Post drin gehabt.

Hier die unveränderte Version:

Code:

Bag Attributes
    localKeyID: 5B C8 E6 3C 70 ED DE 94 45 45 90 94 2B 51 AC 29 B5 16 5F C1 
    friendlyName: CN=personal.opcont.de
subject=/CN=personal.opcont.de
issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
-----BEGIN CERTIFICATE-----
MIIFXDCCBESgAwIBAgISA9XuH4ogZuCWqBFOcmRuc4lKMA0GCSqGSIb3DQEBCwUA
MEoxCzAJBgNVBAYTAlVTMRYwFAYDVQQKEw1MZXQncyBFbmNyeXB0MSMwIQYDVQQD
ExpMZXQncyBFbmNyeXB0IEF1dGhvcml0eSBYMzAeFw0xOTA2MTIxMjQ0MDFaFw0x
OTA5MTAxMjQ0MDFaMB0xGzAZBgNVBAMTEnBlcnNvbmFsLm9wY29udC5kZTCCASIw
DQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAJQ7E/fhOi0+CdD/umZQ8H2Ffn8o
CySACbWzqwNwzTy3+1TEUhJJFVic0iTnJfWQbGT0mAomvLOBL8e3b3bgY0h+cDRs
K2aBLiC0bPitFiubMtqsFaTiTJOj84nSiBSnmZ9WMRgRimRDZcJRfQySz9Os0dYM
mk/1CmxUls/+2Zsz9//GG37py832u559Zse9hhJhhFcKHgq6izauxPt9Wcv0my/y
GdC0SIvrpdB04bm1AN16+v8ZypkpretX8r9AOZhXE5OPhuW54fZ+yDdW7zj+Htx+
HVOzsjJymKHH7+i5IoNWiRpbxVFS2DFAXzcvbn2QvOx5c2fqBbjDWrO6lpkCAwEA
AaOCAmcwggJjMA4GA1UdDwEB/wQEAwIFoDAdBgNVHSUEFjAUBggrBgEFBQcDAQYI
KwYBBQUHAwIwDAYDVR0TAQH/BAIwADAdBgNVHQ4EFgQUW8jmPHDt3pRFRZCUK1Gs
KbUWX8EwHwYDVR0jBBgwFoAUqEpqYwR93brm0Tm3pkVl7/Oo7KEwbwYIKwYBBQUH
AQEEYzBhMC4GCCsGAQUFBzABhiJodHRwOi8vb2NzcC5pbnQteDMubGV0c2VuY3J5
cHQub3JnMC8GCCsGAQUFBzAChiNodHRwOi8vY2VydC5pbnQteDMubGV0c2VuY3J5
cHQub3JnLzAdBgNVHREEFjAUghJwZXJzb25hbC5vcGNvbnQuZGUwTAYDVR0gBEUw
QzAIBgZngQwBAgEwNwYLKwYBBAGC3xMBAQEwKDAmBggrBgEFBQcCARYaaHR0cDov
L2Nwcy5sZXRzZW5jcnlwdC5vcmcwggEEBgorBgEEAdZ5AgQCBIH1BIHyAPAAdgBv
U3asMfAxGdiZAKRRFf93FRwR2QLBACkGjbIImjfZEwAAAWtL7mALAAAEAwBHMEUC
IC4DBJhnMNynA/0IY2IWHp+Y4kn/kLIGfzn4EqzOFWKYAiEAzHHQ6U6/G5wjIX+C
dUnw+GtAgtECNohETUcSGaZVEBQAdgBj8tvN6DvMLM8LcoQnV2szpI1hd4+9daY4
scdoVEvYjQAAAWtL7mCTAAAEAwBHMEUCIF5Gz170+/Bz9hd5QDy+d0P1FYJSaTTH
sZ5RRNme0EvzAiEA5SjXVAPyvdrUzA22Mf60pbTswH+BUfSxSTnicdUIlcYwDQYJ
KoZIhvcNAQELBQADggEBAFHGLC9OCh6X1SwDifvaVTL5kUxnEfU/pqIi7r7COBi8
YE8eaHYUD4pISy2+4yFaUv1rtVWlX1zgjcajs7mK1dsnG7v8VJ+qbyquMhxoP0lT
bNc9YsUCvKiMBlRnIlQAGfMWi+gtwFPA7Jvg2kQz21abV0F0s2nozetlgKCbzkhT
z2aL7FGXwEqf/GE3cKR7WgkpGJzI+AXvHyS5L5+Oer6ZXk5f3UBOdDVjYvQ2yR53
FkhH9UcgkWvKMMhuHlu1gpo50SNsWfR2kic4fxlbWO7WClzIbUIjtmV3LopfOGtp
MaleMu8HRb4KVRsARGl/WvfozWtvaBr16x/r8a5pHQc=
-----END CERTIFICATE-----

[mjustin]

Zitat von Hobbycoder:

Zitat von mjustin:

Das wäre nicht nötig, da es auf dem Web-Server ja immer öffentlich zugänglich wäre.

Okay, das wusste ich nicht. Ja, das habe ich hier verändert im Post drin gehabt.

Sieht so ganz gut aus, es wird ohne Fehler angezeigt und verwendet das gleiche Intermediate Zertifikat wie das in meinem Test.

Und das wird IOHandler.SSLOptions.CertFile zugewiesen, richtig? Und es wird vorher auch kontrolliert ob die Datei existiert?

[Hobbycoder]

Delphi-Quellcode:

  if FileExists(ExtractFilePath(Application.ExeName)+'cert\cert.crt') then
    idsrvrhndlrslpnsl1.SSLOptions.CertFile:=ExtractFilePath(Application.ExeName)+'cert\cert.crt';
  if FileExists(ExtractFilePath(Application.ExeName)+'cert\cert.key') then
    idsrvrhndlrslpnsl1.SSLOptions.KeyFile:=ExtractFilePath(Application.ExeName)+'cert\cert.key';
  if FileExists(ExtractFilePath(Application.ExeName)+'cert\cert.pem') then
    idsrvrhndlrslpnsl1.SSLOptions.RootCertFile:=ExtractFilePath(Application.ExeName)+'cert\cert.pem';

Und die Verzeichnisstruktur siehe Bilder im Anhang.
Wobei das cert.crt = CertFile, cert.key = Keyfile und cert.pem = rootcertfile ist. Die Namen oben hatte ich zwecks leichterem Lesen passig abgeändert. (Kommt aber auf's gleich raus)

Muss ich denn am lokalen Rechner das CertFile im Windows importieren? Zur Zeit ist da nur das PFX von Let's Encrypt drin. Oder muss es ausreichen die 3 Files per Zuweisung zum IOHandler dem Handler bekannt zu machen?

[mjustin]

Zitat von Hobbycoder:

Muss ich denn am lokalen Rechner das CertFile im Windows importieren? Zur Zeit ist da nur das PFX von Let's Encrypt drin. Oder muss es ausreichen die 3 Files per Zuweisung zum IOHandler dem Handler bekannt zu machen?

In Windows ist das Root-Zertifikat bereits installiert (wird mit Betriebssystem oder mit dem Web-Browser), daher ist es ausreichend nur die Files im HTTP Server anzugeben, damit Server diese dann dem Client schicken kann.

Mögliche Fehlerursache: Browser speichern Zertifikate in einem "Cache" um sie bei einem weiteren Besuch der gleichen Seite nicht noch einmal vom Server zum Client übertragen zu müssen. Ich kann es zur Zeit nicht selber testen, hier ist aber eine Beschreibung mit der man den Cache löschen kann:

https://www.a2hosting.com/kb/getting...sers-ssl-state

[Hobbycoder]

Jetzt funktionierts.

Ich habe noch mal alle Zertifikate incl. des PFX von Let's Encrypt gelöscht und noch mal komplett von vorn angefangen. Da ging's auf anhieb. Woran's am Ende tatsächlich lag kann ich mit meinem eingeschränkten Know-How über Zertifikate nicht sagen.
Ich danke aber vielmals für eure Unterstützung.