Aktivierung der TLS und Verschlüsselung mit Authenti...

[piccolo1108]

Wollte heute die Geschichte einrichten. Es hat nicht funktioniert, es kam an den Clients dann immer die Fehlermeldung 4204. Was habe ich falsch gemacht? In der Maske zum "Anlegen eines Zertifikates für Clientsysteme" kann man wählen zwischen RSA und ECC ??? Welches ist das richtige. Muss ich in der Fritzbox eine spezielle Freigabe für den Port 443 anlegen???? Vielleicht kann jemand helfen. Wäre sehr dankbar.

[Thomas]

Das Zertifikat muss RSA sein. Das Zertifikatskennwort darf kein = enthalten. Da das aber zufällig generiert wird, ggfs. einfach das Zertifikat löschen und neu anlegen, bis kein = im Kennwort ist.

Und für nichts von alldem muss in der Fritzbox eine eingehende Freigabe erstellt werden! NIE!!! Das öffnet das Praxisnetzwerk (zumindest teilweise) für Angriffe von außen. NIE MACHEN! (Zumindest gar nicht, wenn man nicht genauestens (das meine ich ernst!) versteht, warum und wofür eine Freigabe da ist.)

Viel Erfolg! (In Ihrem Fall vermute ich, dass Sie die Vorgabe verwendet und ein ECC Zertifikat erstellt haben - also nochmal neu machen, als RSA.)

[piccolo1108]

Danke für diesen ersten Tipp. Ich habe mal ein Bild angehangen, welche Protokolle in meiner Koco-box noch stehen. Die vom 23.09.2023 sind die heutigen, es stehen aber auch noch die alten vom Tag des Wechsels der Kocobox drin. Muss und darf ich diese auch löschen, oder hängt da noch etwas anderes dran, was dann vielleicht nicht mehr funktioniert, wenn ich die Protokolle vom Juni lösche????

20230923_140532.jpg

[Thomas]

Die alten einfach löschen, die werden nicht mehr gebraucht.

[rfbdoc]

Als Heimwerker möchte nicht widersprechen. Dennoch würde ich nur das Zertifikat TurboMed löschen. Kann sein dass die anderen dann auch weg sind, weil sie automatisch mit gelöscht werden, vielleicht sind sie doch noch notwendig.
Ohne das vorhandene TLS Zertifikat TurboMed zu löschen kann man kein neues Zertifikat erstellen.
Der Fehler 4400 sollte dann behoben sein, sodass man auch KIM deregistrieren und wieder neu registrieren kann, was nach jeder TLS Zerifikaterneuerung notwendig ist.

[Thomas]

Meine Erfahrung ist, dass TurboMed und caTurboMed weg können. Und zwar alle. Legt man dann ein neues Zertifikat TurboMed an, wird auch caTurboMed mit erzeugt. Das Paket importiert man dann in TurboMed und gut ists mit den Zertifikaten. (Wenn man noch andere externe Komponenten am Laufen hat (kv.dox soll so etwas sein, habe ich gehört), muss man ggfs. noch mehr tun, aber für‘s reine TM mit CGM KIM reicht das.) Eventuell noch KIM neu registrieren, das habe ich nicht auf dem Schirm…

[rfbdoc]

Ich habe immer Hemmungen so etwas zu löschen. Daher vielen Dank für die Rückmeldung.

[rfbdoc]

Habe heute in der KocoBox das TLS Zertifikat TuboMed gelöscht und ein neues angelegt.
Bei Starten von TM hätte ich erwartet, dass das TI Symbol rot ist und erst nach Import des neuen Zertifikats wieder grün wird. Dem war nicht so. TI Konnektivität bestand auch ohne Import des neu erstellten Zertifikats.
Wo ist mein Denkfehler ?

[Thomas]

Ist im Konnektor die Zertifikatsnutzung auch erzwungen worden?

2023-09-25 22_47_17-SERVER - TeamViewer.png

[rfbdoc]

Ja
Eigentlich genau so wie bei Ihnen, wobei ich noch einen dritten Eintrag CS_TI-Assist habe, dessen Notwendigkeit ich nicht beurteilen kann.
Nach TLS Neuerstellung müsst doch eigentlich vor Einpflegen des neuen Zertifikates in TurboMed das TI Symbol rot sein !

Zwischenablage01.jpg

[Thomas]

Finde ich auch seltsam. Die Frage ist, ob auch Karten eingelesen werden können... Den Konnektor kann TM ja auch so noch erreichen (TI-Symbol daher grün), aber es sollte nichts gescheites mehr damit machen können...

[rfbdoc]

Karten einlesen geht. Kim geht nicht mehr.
Beim Versuch Kim zu derigistrieren und neu zu registrieren (auf Server als Administrator gestartet) bleiben werden die Felder zur Bearbeitung der Daten nicht angezeigt, sodass Derigisrierung und Neuregistrierung nicht erfolgen können. eAU geht natürlich damit auch nicht.
Sonst half hier immer ein neues TLS Zertifikat aber scheinbar wird das irgendwie nicht wirklkich neu in TM integriert, so meine Vermutung.

[Thomas]

Das Problem mit dem KIM-Deregistrieren kenne ich. Ich mache mal schnell einen neuen Thread dafür und mit der Lösung auf, denn ich suche das auch immer wieder...

[DC19]

Wir hatten ein ähnliches Problem?, in diesem Monat oder Zustand. Grundsätzlich scheint der Versichertenstammdatenabgleich ohne KIM usw zu funktionieren. Nur der Rest geht nicht mehr.

Wir hatten die Zertfikate auch neu machen müssen, wegen Ablauf. Alles schien richtig. Aber es gab dennoch keine Ti verbindung. Karteneinlesen ging. Es hat dann geholfen den Konnektor und den Server neu zu starten, damit ging es wieder. Auch der KIm Client (Dienste) musste einmal manuell neu initiiert werden.

Eine zweites Phänomen betraf das "ausliefern" des Zwangsupdates des Konnektors, was bei uns nicht ging da wir das automatische Updaten deaktiviert haben (Es fallen ja immer noch Konnektoren aus.....), CGM TI meinte die TI Verindung hätte damit nichts zu tun.... und es wurde uns von einem Gewitter berichtet wo evtl. es zu einem kurzen Stromausfall kam..... (Auf dem Server gab es kein protokoll bzgl. Stromausfall).... jedenfalls hat hier auch der Konnektor und der Serverneustart geholfen.... In der Wartezeit bis o.g. Aussage bzgl. des Gewitters kam, ging es dann auf einmal wieder.... Ich habe mir meinen teil dabei gedacht.... Kein update und damit schon einmal die Zwangstrennung "ausversehen" durch CGM veranlasst.... die erst im November kommen sollte.....

Weiß nicht ob dies hilft..... Alles neu starten und schauen ob der KIm Dienst läuft..... das war es bei uns.

[c-it]

Karten einlesen geht. Kim geht nicht mehr.

... an den TLS Wartungsdurchlauf gedach? ...

Schönen Tag
c-it

[Thomas]

Habe heute in der KocoBox das TLS Zertifikat TuboMed gelöscht und ein neues angelegt.
Bei Starten von TM hätte ich erwartet, dass das TI Symbol rot ist und erst nach Import des neuen Zertifikats wieder grün wird. Dem war nicht so. TI Konnektivität bestand auch ohne Import des neu erstellten Zertifikats.
Wo ist mein Denkfehler ?

Der Zufall wills und hier ist gerade heute um 13:41 das Clientzertifikat abgelaufen. Prompt zickt TurboMed herum, macht die kleine Karte rot und ist insgesamt gar nicht mehr glücklich... Ich erstelle jetzt einmal frische Zertifikate und dokumentiere dabei die Schritte.

Gut, frische Zertifikate im Konnektor erstellt - TM lief da die ganze Zeit weiter - und jetzt ist TM auf einmal glücklich, zeigt grüne Karte und alles grüne Sonnen im Betriebsbereitschaftsfenster - das ist nun seltsam, eigentlich müsste es immer noch unglücklich sein. Versuche, nochmal die Betriebsbereitschaft herzustellen schlagen fehl ("Keine Verbindung zu Konnektor"). TM Neustart immer noch Fehler "Keine Verbindung zum Konnektor" und kleine Karte in Statusleiste wird - wie erwartet - rot. Nun ist er also korrekterweise ohne Verbindung - so, wie es sein soll. Das neue Zertifikat installiert und nochmal auf "Betreibsbereitschaft" geklickt: SMC-B-Pin-Abfrage kommt und alle Sonnen werden wieder wieder grün, genau wir die kleine Karte. Versuche, nochmal eine eAU zu senden schlagen fehl. (Soweit auch erwartet, denn KIM ist ja noch nicht mit dem neuen Zertifikat verbunden.) KIM-TLS-Wartungslauf laufen lassen - geht nicht, kann den Client nicht starten. Ich versuche das heute Abend nochmal, wenn Ruhe ist und alle abgemeldet sind.

[bofh]

Daran denken: Es gibt Stolperfallen beim TLS-Zertifkat: RSA-Verschlüsselung beachten und nicht alle Sonderzeichen im Zertifikatspasswort funktionieren. Siehe viewtopic.php?p=62788#p62788

[rfbdoc]

Nach dem TLS Wartungslauf lief es hier dann, Danke für den Hinweis.
Allerdings bestand noch ein weiterer Fehler. Beim Start des TLS Wartungslauf (als Admin auf Server) wähnt sich TM offenbar nicht
auf dem Server, Fehlermedlung: Wartungslauf nur auf dem Server durchführbar. (o.ä.) Offensichtlich wurde der Server nicht als solcher erkann. Ich habe dann auf dem Server in den Grundeinstellungen an Stelle der Server IP den Servernamen eingegeben, danach ging dann auch der Wartungslauf, alle Felder grün
Offensichtlich hat TM durch die Neueingabe den Server "neu eingelesen" und den Pfad richtig gesetzt, so meine Vermutung.
Dennoch: Früher war es so, das nach Erneuerung des TLS Zertikfikats beim ersten Start von TurboMed der Konnector nicht gefunden wurde und das TI Symbol rot war. Nach meinem Verständnis muss das auch so sein. Nach Einlesen des neuen TLS Zertifikats wurde das Symbol dann grün. Zusätzlich musste im Anschluss immer einmal Kim Deregistriertund Neuregistriert weden, das war auch heute so.
Aktuell laufen KIM und eRP wieder, mal sehen wie lange es anhält.
Wieso läuft so ein Clientzertifikat eigenlich ab ? Un dann auch noch ohne Vorwarnung. Das müsste doch flächendeckend zu Systemausfällen mit der Notwendigkeit von Technikereinsätzen vor Ort führen da vermutlich die wenigsten Praxen dies allein bewerkstelligen können.

[c-it]

KIM-TLS-Wartungslauf laufen lassen - geht nicht, kann den Client nicht starten. Ich versuche das heute Abend nochmal, wenn Ruhe ist und alle abgemeldet sind.

... da hilft es manchmal den KIM-Client-Service manuell neu zu starten. Schlimmstenfalls muss der
Server neu gestartet werden.

Schönen Abend
c-it

[c-it]

Nach dem TLS Wartungslauf lief es hier dann, Danke für den Hinweis.

Wieso läuft so ein Clientzertifikat eigenlich ab ? Un dann auch noch ohne Vorwarnung. Das müsste doch flächendeckend zu Systemausfällen mit der Notwendigkeit von Technikereinsätzen vor Ort führen da vermutlich die wenigsten Praxen dies allein bewerkstelligen können.

... auch die Software-Zertifikate haben endliche Lebensdauern. Hie und da wurde beim Tausch der Box das Zertifikat
der alten Box mit übernommen. Das hatte eine etwas kürzere Laufzeit. Die neu erstellten Zertifikate laufen gemeinsam
mit dem Zertifikat der Box ab.

Schönen Abend
c-it