Outlook Mobile / SMIME ungültig / Exchange Online

[PEASANT KING]

Moin moin,

da bin ich wieder... Ich habe ein Problem. Wir haben neue Mailzertifikate angefordert. Nun wurden diese erstellt und eingespielt.
Manche Mitarbeiter benötigen auf Ihren MDEs Outlook und deren Zertifikat, um verschlüsselt Mails zu senden.
Das komische ist, sendet man mittels deren Zertifikat am PC aus Outlook ist das Zertifikat gültig und es lässt sich verschlüsselt kommunizieren. Macht man das Gleiche am MDE erhält man im Outlook dort, das Zertifikat sei ungültig. Es handelt sich um Android 13 auf den MDEs

Wenn man Google befragt gibt es viele Informationen darüber, auch das man im GAL vom Online Exchange, den wir nutzen die Zertifikate importieren soll damit es funktioniert.
Das wurde auch getan, der gesamte Pfad der Zertifikate wurde importiert sprich Root CA Intermediate und Personal der Mitarbeiter.
Nichts hilft und beseitigt dieses Problem.

Hat hier noch irgend Jemand einen Tipp, oder kann ich die Zertifikate wieder entfernen aus dem Exchange Online und noch mal neu importieren? Die Fummelei mit den Zertifikaten ist echt nervig. Vor allem haben Mitarbeiter schon so ein Zertifikat vom selben Herausgeber seit letzem Jahr, da gibt is dieses Problem komischerweise nicht...

Grüße

 

[Grimba]

Ganz ehrlich, das klingt nach einem Ticket für eure IT.

 

[PEASANT KING]

Das wäre traurig, denn ich bin unsere IT unter anderem xD. Ich hab es unter IOS probiert und auch hier genau das gleiche Problem. Ich könnte mir jetzt mal einen anderen Zertifikataussteller besorgen und gucken, ob es an Zertifikaten von GlobalSign allgemein liegt.

 

[Grimba]

Oh, das wusste ich nicht
Wegen SecOps-Bedenken etc. tue ich mich schwer, Tipps für das Zertifikatshandling abseits der jeweiligen Firmen-IT, deren Verantwortlichkeit das ist, zu geben. Die möchte man da ja nicht übergehen.
Hat denn der Zertifikats-Aussteller keinen Support?

 

[PEASANT KING]

Die Zertifikate wurden über SSLPlus bestellt, der Support ist auch schon informiert, aber ich erhoffe mir da nicht all zu große Hilfe ohne hier Jemanden schlecht zu machen, aber die Aussagen waren in Vergangenheit sehr rudimentär und meist lief es einfach auf eine Stornierung und Neuaustellung aus.
ich denke aber nicht das damit das Problem behoben wird, da es derzeit 5 Zertifikate betrifft.

 

[Grimba]

Ich meine viel Voodoo kann ja bei Zertifikaten nicht geschehen. Das ist ja nur ein vergleichsweise simpler Datensatz, der mit dem trusted Private Key des Ausstellers signiert und damit beglaubigt wurde. Wenn jetzt unabhängig voneinander zwei Betriebssystem-Zertifikatsspeicher (Android und iOS) das Zertifikat für abgelaufen halten, kann man sich zwar fragen, warum Outlook das anders sieht, aber dann würde ich halt davon ausgehen, dass irgendwas falsches im Datensatz steht, das dazu führt. Insofern wäre hier schon der Aussteller zuständig in meinen Augen. Ich lasse mich da aber sehr gerne korrigieren.

 

[Syagrius]

Auf welche Laufzeit ist denn das Zertifikat ausgestellt? 1 Jahr, oder länger?

 

[PEASANT KING]

Die Laufzeit beträgt derzeit 1 Jahr.

 

[Syagrius]

Ok, dann ist das schon mal nicht das Problem. Vor ein paar Jahren war Apple die erste Firma, die Mailingzertifikate nur noch mit einem Jahr akzeptiert haben.
Eventuell hast du noch Stress mit der falschen Zertifikats"art". Kannst du sagen, was ihr genau gebucht habt? Aus der Auftragsbestätigung vll.?

 

[PEASANT KING]

Es handelt sich um die einfachsten PersonalSign 1 Zertifikate von GlobalSign. GlobalSign wurde schon informiert, aber bin mal gespannt wann ich da Rückmeldung erhalte.

 

[Syagrius]

https://answers.microsoft.com/en-us...h-do-not/7dbbf18f-d988-4830-936e-4135a56217fc

Vielleicht ist das dein Problem?

 

[PEASANT KING]

Genau das ist das Problem korrekt, der Post ist aus 2021. Wir haben Zertifikate von 2022 da ging und geht es immernoch ohne Probleme, warum sollte es jetzt mit den neu Bestellten nicht mehr funktionieren? Ich sehe in den Posts auch keine Lösung für uns.

 

[Syagrius]

Den Passus, dass es mit den alten ging, hab ich überlesen. Waren das genau die gleichen Zertifikate? Wenn es nicht offiziell supportet ist, wird es halt schwierig, das zu beantworten. MS ist immer noch MS.

 

[PEASANT KING]

Ja der Typ Zertifikat ist genau der gleiche wie letztes Jahr. Es sind nur neue Mitarbeiter dazu gekommen, die nun ein Zertifikat benötigen.

 

[Evil E-Lex]

Ich sehe in den Posts auch keine Lösung für uns.

Explizit steht es dort nicht, implizit allerdings schon: Es funktioniert, wenn man nicht Outlook auf den Mobilgeräten verwendet.

 

[norKoeri]

gesamte Pfad der Zertifikate wurde importiert sprich Root CA Intermediate

Wilde Idee: Bereits überprüft, ob sich er der Pfad geändert hat? Also der Aussteller des PersonalSigns?
Die Ketten ändern sich immer mal. Und Dank Cross-Signing kannst Du den Pfad bzw. die Wurzel weitgehend selbst bestimmen. Musst dann aber darauf achten, dass andere Intermediates nicht herumfliegen. Löst Ihr aktuell zu GlobalSign Root R46, R6, R3, R2 oder R1 auf?

 

[PEASANT KING]

GlobalSign Root CA R3 -> GlobalSign GCC R3 PersonalSign 1 CA 2020 -> Zertifikat des Nutzers

Wie meinst du das mit dem rumfliegen?
Übrigens habe ich mir über DigiCert auch ein Zertifikat erstellt, da ist genau das gleiche mit Outlook Mobile ...
Ich fürchte das Outlook das nicht mit macht und das MS das Problem ist.

Lustigerweise werden mir im Outlook die Zertifikate angezeigt unter Sicherheit als "Vertrauen widerrufen".

Das wird der Grund sein, warum es nicht funktioniert, aber keine Ahnung wie das gelöst werden kann.
GlobalSign hat sich bis heute nicht gemeldet außer das es ein Ticket gibt ...

 

[Evil E-Lex]

Ich fürchte das Outlook das nicht mit macht und das MS das Problem ist.

Also bitte. Exakt das steht im vom @Syagrius geteilten Link. Allerdings hat sich da in der Zwischenzeit was getan: Es gibt einen Artikel beim MS vom 22.02.2023 S/MIME for Outlook for iOS and Android in Exchange Online. Vielleicht bringt dich das weiter.

 

[PEASANT KING]

Ja den Artikel kenn ich, nur leider hilft auch das nicht.

Kann mir Jemand sagen, ob ich den Zertifikatsspeicher vom Exchange Online auslesen kann und ggf. auch Zertifikate entfernen kann?

 

[norKoeri]

Wie meinst du das mit dem rumfliegen?

Du hast zwei Pfade:

• Zertifikate, die Du alle mitschickst.
• Zertifikate, die der E-Mail-Client kennt und gesammelt hat.

Letzteres ist ein Problem, weil Du auch noch GAL und und und haben kannst. Ich kenne Deine App zu wenig, aber je nachdem wie die programmiert ist, können hier wilde Mischungen entstehen. Allerdings schreibst Du, dass alte Mitarbeiter/Zertifkate es wunderbar verwenden können, nur die neuen Mitarbeiter/Zertifikat nicht. Du könntest jetzt mit einem Intermediate rüber zu GlobalSign Root R1 probieren. Aber wenn auch DigiCert bockt, würde ich davon die Finger lassen. Stattdessen mal schauen, ob was in dem Zertifikat selbst anders ist, also Hash-Version (SHA-256), Schlüssel-Stärke (3.072 bit) oder Schlüsselverfahren (RSA versus ECC).

Mein Tipp: Schau Dir mal die E-Mail-Adresse an. Ich hatte schon Probleme, wenn die Groß-/Kleinschreibung unterschiedlich war, also im Zertifikat steht normal alles klein, im E-Mail-Programm standen ein paar Buchstaben groß.