Aktivierung der TLS und Verschlüsselung mit Authenti...

[SFeu]

Liebe Kollegen und TM-Spezis, ich will heute die Komfortsignatur (wieder) aktivieren
Kurze Frage mit Bitte um Überprüfung meines geplanten Ablaufs:

-Admin
-Deregistrieren KIM
-Löschen KIM-Konto
-TLS-Zerti erzeugen (Cave RSA, Sonderzeichen im PW)
-Konnektor umstellen (Clientsystem, Signaturdienst)
-Turbomed Konnektoreinstellungen (Gematik) https...
-Zerti importieren
-TLS Wartungslauf
-Reregistrieren KIM

Wäre das so ok? Zwischendurch würde ich TM wahrscheinlich immer neu starten...

[c-it]

... Klingt gut. Das alles am Server ausführen und diesen am Schluß neu starten.
Wahrscheinlich reicht auch der Neustart KIM Client Modul und FOS aus ...

Guten Morgen
c-it

[SFeu]

Danke!

Grüße

[DocET]

Sind die von SFeu genannten Schritte bei erstmaliger Inbetriebnahme der Komfortsignstur auch dann notwendig, wenn TSL, KIM und eAU mit Stapelsignatur bereits stabil laufen?

[Thomas]

Sind die von SFeu genannten Schritte bei erstmaliger Inbetriebnahme der Komfortsignstur auch dann notwendig, wenn TSL, KIM und eAU mit Stapelsignatur bereits stabil laufen?

Nein, dann einfach im Konnektor bei den Signaturen (ganz unten) die Komfortsignatur aktivieren und direkt in TM benutzen (im Gematik-Menü). Sofern der Komfortsignatur noch irgendeine Einstellung fehlt, wird das beim Aktivieren im Konnektor gemeldet.

[SFeu]

Kurze Rückmeldung nach Reaktivierung der Komfortsignatur:

eAU, eGK, eRp, KIM-Empfang und Komfortsignatur funktionieren,
NUR der KIM-Versand funktioniert nicht, sowohl unsigniert als auch signiert-dabei folgende Fehlermeldung...

hat jemand eine Idee?

[c-it]

... spontan würde ich die Batch von @FortiSecond (Java-directories löschen) ausführen ...

Schönes Wochenende
c-it

[scottsdalegirl]

-Konnektor umstellen (Clientsystem, Signaturdienst)
-Turbomed Konnektoreinstellungen (Gematik) https...

Verzeihung, was ist mit den beiden Punkten gemeint? Sagt mir nichts. Dankeschön!

[turbotm]

Entschuldigt aber kann jemand kurz erklären wofür die Zertifikate gebraucht werden:
KoCoBox --> Menü --> Verwaltung --> Clientsystem -->
1. Zertifikat für Authentisierung Clientsystem hinzufügen
2. Zertifikat für Authentisierung Konnektor hinzufügen

bei 1. ist das Zertifikat, das ich für die TLS Aktivierung vor Einrichtung der eRp diese Woche gemacht habe.
bei 2. ??

Gehe ich zu Turbomed --> Menü --> Sonstiges --> Gematik --> Konnektoreinstellungen: Reiter Konfiguration, Feld Zertifikatsverzeichnis
Finde ich den Pfad zum Zertifikat, das ich für die TLS Aktivierung benutzt habe.

Ist das so korrekt?
Und was ist der ... an den TLS Wartungsdurchlauf gedach? ...??
Danke

[FortiSecond]

@turbotm:
1. Korrekt. Das ist das Zertifikat, mit dem sich KIM, TM und weitere Programme gegenüber dem Konnektor legitimieren.
2. Das Konnektorzertifikat ist das, was die Clientsysteme zu sehen bekommen. Es ließe sich also ein anderes Zertifikat erstellen, das der Konnektor beim Verbindungsaufbau dem Client präsentiert. Hier wird selten dran geschraubt, weil meist nicht weiter relevant.

Alles richtig gemacht.
Der TLS-Wartungslauf ist dazu gedacht, allen TM-Komponenten (und m.W. auch KIM) beizubringen, per TLS mit dem Konnektor zu sprechen. Wenn aber ohen den Wartungslauf alles funktioniert, ist er nicht erforderlich. Ich habe ihn nur 1 x gebraucht, ist aber schon lange her.

[turbotm]

Lieber FortiSecond, wo darf ich Ihnen die Kiste Bier hinschicken?
Bei mir hat es einen TLS-Wartungslauf bedurft, jetzt läuft auch die KIM wieder odentlich, so dass die eAU raus sind. Übrigens hatte ich vorher mal ein grünes, mal ein rotes Zeichen an der Kim, je nach Mondphase...
Beste Grüße

[Landarzt21]

kurze Frage hierzu: Nachdem ich an einigen Rechnern erfolgreich ein Zertifikat angeben konnte und damit auch komfortsignieren haut mir Turbomed obwohl ich einen anderen neuen lokalen Pfad angebe unter Sonstiges>Praxisdaten>eGK>Konfiguration beim Zertifikatverzeichnis immer wieder einen alten Netzwerkpfad rein. Wie kann das sein, wie kann man das beheben?

[Landarzt21]

Ich war schon fast positiv gestimmt der Dinge sie da im neuen Jahr kommen. Nun habe ich den Nachmittag damit verbracht in verschiedenen Konstellationen TLS zu aktivieren, deaktivieren, eine Zertifikat mit wenigen, keinen oder "guten" Sonderzeichen zu verwenden und trotzdem tauch an einigen rechnern immer wieder wie verhext der falsche Pfad zu Zertifikat auf. Woher holt TM sich diesen? Aus der eigenen DB oder vom Konnektor?
Eigentlich wollte ich nur noch schnell den 2en eHBA meines Kollegen auf die gleiche weise wie meinen eigenen für die Komfortsignatur freischalten..grmpf.. was eine Zeitverschwendung... Ich glaube ich werde das lassen meine freien Tage wirklich frei machen und halt auf rote Rezepte drucken... Signieren geht ja nur halb ..

[FortiSecond]

@Landarzt21
Grundsätzlich sollte es eigentlich so laufen, dass man das einmal per "TM als Admin auf dem Server" einrichtet und die Stationen automatisch versorgt werden. Habe gerade kein TM zur Hand, aber vielleicht brauchen die Stationen unter Grundeinstellungen den Pfad zu den Zertifikaten. In der local.ini müsste dann sowas stehen wie PfadZertfikat={Zertifikate}.
Bei Bedarf schaue ich gern nach - oder jemand kommt mir willkommenerweise zuvor

[Landarzt21]

@FortiSecond heute nochmal Server Rechner gestartet und als administrator Turbomed auf dem Serverrechner. Nun setzt er auch dort automatisch den Pfad D:\Turbomed\Daten\Var\Konnektor\Zertifikate\kryptischer Schlüssel der wohl autogeneriert ist.
Ich kann diesen Pfad dann auch nicht manuell ändern, auch nach ausstellen von https mit Zertifikat. abspreichern Server komplett neustarten und wieder aktivieren kommt immer dieser falsche Pfad...
in Local oder Global.ini finde ich nichts zu dem Thema
bin kurz davor meine Konnektor Backup wieder einzuspielen und zu schauen ob das was ändert.

Vielleicht noch für die Klarheit. Es muss für jeden einzelnen Rechner (Client) auf der KocoBox ein Zertifikat erstellt werden? Und die könnten dann alle in einem Verzeichnis auf dem Server liegen? oder sollten die auf den Clients jeweils im entsprechenden Ordner liegen?

[bofh]

Das TLS-Zertifikat wird (nur einmal) für "TurboMed" auf dem Konnektor erzeugt.

Natürlich braucht jeder Rechner (Client) dann irgendwie auch das Zertifikat. Es wird meines Wissens nach nur einmal zentral auf dem Server hinterlegt und per Netzfreigabe benutzt. Pfade muss man nicht extra einstellen.

[Landarzt21]

@bofh ok dann habe ich da wohl zu kompliziert gedacht, also werde ich mal aus dem Konnektor alle Zertifikate bis auf das für den Server wieder rauslöschen. und eines für TurboMed erzeugen hoffentlich hilft das, danke für die Hilfestellung.

[bofh]

alle Zertifikate bis auf das für den Server

Das verstehe ich gerade nicht. Es wird nur ein Zertifikat für das Clientsystem "TurboMed" benötigt. Und unbedingt dabei RSA auswählen.

[Landarzt21]

@bofh es war ein Verständnisfehler meinerseits.
Es war viel einfacher als gedacht. DANKE an dich und FortiSecond für die Tipps. Nun muss ich noch schauen ob KIM noch tut.

Also Kim musste deregistriert und neu registriert werden, hatte gehofft ich kann das sparen. Nun habe ich das Problem das bei einer KIM Mail noch versucht wurde diese davor zu öffnen/abzurufen und bekommen folgendne Fehler:

Der für die Entschlüsselung der Nachricht benötigte Schlüssel wurde nicht gefunden. Überprüfen Sie, ob die entsprechende Karte gesteckt ist und leiten Sie diese Nachricht an Ihre eigene Email Adresse xxxxx@praxis.tm.kim.telematik weiter. Beim nächsten Abholen wird der Entschlüsselungsvorgang wiederholt.

Ich habe schon mehrfach die Funktion vermisst irgendwie falsch oder teilgeladene Nachrichten gezielt erneut abzurufen. Geht das, was macht man sonst bei solchen mails?

[FortiSecond]

@Landarzt21
Ich will´s nicht beschwören, aber es gibt Situationen bei KIM, in denen eine Neuregistrierung zu einem komplett neuen Schlüssel führt. Ich meine, dass das in Konstellationen auftritt mit Registrierung auf früheren Praxisausweis und Neuregistrierung mit neuem Ausweis.
Denn dabei wird auch der öffentliche Schlüssel im Verzeichnisdienst erneuert. Nachrichten, die danach an die Praxis gerichtet sind, sind dann mit dem neuen Schlüssel zu entschlüsseln. Wenn aber im Postfach noch nicht abgerufene Mails mit altem Schlüsselmaterial liegen, dann kann man nur hoffen, dass TM bzw. das KIM-CM noch den alten Schlüssel verfügbar haben. Darauf deutet die ominöse Funktion zum Zertifikatsabruf im KIM-ASSIST / Config-Modus.
Genau habe ich mir das nicht angesehen, weil meistens noch ein letzter Abruf vorher geklappt hat.