kim (kim-telekom), thunderbird und der secunet konnektor

[olafmito]

hallo,

mal abgesehen von der pvs (praxis-/patientenverwaltungssoftware) die ihren eigenes eingebautes kim-mail-programm hat, welches überhaupt nicht funktioniert, würde ich gerne mit thunderbird weitermachen. als die tls-pflicht im secunet konnektor noch ausgeschaltet (september) und die authentifizierung ohne jegliche mittel erfolgte, brauchte ich im kim-clienten der telekom version 18... ohne TLS im installationsassisten, nur den port in der clientmodule.xml zu ändern, den aufrufkontext richtig (mit groß- und kleinschreibung) als benutzernamen für pop3 und smtp in thunderbird eingeben und alles funktionierte. ich hielt mich an die anleitung. ich konnte mails (unverschlüsselt) an mich selbst und andere kim-user schreiben. ich konnte alles und jeden in ldap (nicht ldaps) finden. TLS ist vorgeschrieben und soll mit dem kim-clienten 19... und den richtigen zertifikaten eingepflegt werden.

Ich habe also im secunet Konnektor die TLS-pflicht aktiviert und dazu gleich dadrunter "Authentifizierung: Zertifikat". Ich habe reichlich Zertifikate nicht nur in mein PVS sondern auch in Thunderbird importiert so gut es ging.

Bei POP3 müsste alles klappen, habe nach viel Mühe es geschafft, alte E-Mails vom Server nochmal runterzuladen.

SMTP geht nicht.

clientmodule.log sieht so aus:

2021-10-15 11:05:55.559 [{id=c0237ed7-0814-45b4-b617-2e8171e402af}] [CM-SMTP-Server-Worker-1] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - Eine vorhandene Verbindung wurde vom Remotehost geschlossen
2021-10-15 11:06:35.974 [{id=ea7a9b59-04ef-4f5b-9a59-c76deb13c190}] [CM-SMTP-Server-Worker-2] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - Eine vorhandene Verbindung wurde vom Remotehost geschlossen
2021-10-15 11:07:39.030 [{id=9146aa29-93d4-4c5a-82e6-ae16148257c0}] [CM-SMTP-Server-Worker-3] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - javax.net.ssl.SSLException: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca
2021-10-15 11:07:48.321 [{id=38d42d87-5c6f-48da-8ddb-40d11e0a1f60}] [CM-SMTP-Server-Worker-4] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - javax.net.ssl.SSLException: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca

oder auch

2021-10-15 10:53:53.919 [{id=9c4fe955-1026-416c-8f9c-d4198d1e7730}] [CM-SMTP-Server-Worker-1] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - Eine vorhandene Verbindung wurde vom Remotehost geschlossen
2021-10-15 10:54:17.643 [{id=8aeba774-f518-46b1-8db9-4050e1c48a85}] [CM-SMTP-Server-Worker-2] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - javax.net.ssl.SSLException: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca
2021-10-15 10:54:25.676 [{id=0eeb29df-c6c2-4d86-bea4-b83bcb9fcf42}] [CM-SMTP-Server-Worker-3] ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - Eine bestehende Verbindung wurde softwaregesteuert
durch den Hostcomputer abgebrochen

folgende Fehlermeldung bekomme ich alle paar Minuten, obwohl kein Thunderbird und kein PVS laufen:

2021-10-15 10:57:43.596 [{id=16b7d5de-6219-4aa4-8549-767c9f226cb6}] [CM-POP3-Server-Worker-3] INFO com.tsystems.gematik.komle.mail.util.MailStopWatch - POP3 S: CONNECT(FINISHED) 10:57:43 10:57:43 2
2021-10-15 10:57:53.595 [{id=16b7d5de-6219-4aa4-8549-767c9f226cb6}] [CM-POP3-Server-Worker-3] ERROR com.tsystems.gematik.komle.clientmodule.pop3.server.Pop3ProxyServerChannelInitializer - SSL handshake unsuccessful. Cause: {} io.netty.handler.ssl.SslHandshakeTimeoutException: handshake timed out after 10000ms
at io.netty.handler.ssl.SslHandler$7.run(SslHandler.java:2114) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.PromiseTask.runTask(PromiseTask.java:98) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.ScheduledFutureTask.run(ScheduledFutureTask.java:170) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.AbstractEventExecutor.safeExecute(AbstractEventExecutor.java:164) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.SingleThreadEventExecutor.runAllTasks(SingleThreadEventExecutor.java:469) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.channel.nio.NioEventLoop.run(NioEventLoop.java:500) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.SingleThreadEventExecutor$4.run(SingleThreadEventExecutor.java:986) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.internal.ThreadExecutorMap$2.run(ThreadExecutorMap.java:74) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at java.lang.Thread.run(Thread.java:834) [?:?]

2021-10-15 10:57:53.603 [{id=bc53bd10-1393-4e2f-821e-6b09bdca76f3}] [CM-POP3-Server-Worker-4] INFO com.tsystems.gematik.komle.mail.util.MailStopWatch - POP3 S: CONNECT(FINISHED) 10:57:53 10:57:53 2
2021-10-15 10:58:03.601 [{id=bc53bd10-1393-4e2f-821e-6b09bdca76f3}] [CM-POP3-Server-Worker-4] ERROR com.tsystems.gematik.komle.clientmodule.pop3.server.Pop3ProxyServerChannelInitializer - SSL handshake unsuccessful. Cause: {} io.netty.handler.ssl.SslHandshakeTimeoutException: handshake timed out after 10000ms
at io.netty.handler.ssl.SslHandler$7.run(SslHandler.java:2114) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.PromiseTask.runTask(PromiseTask.java:98) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.ScheduledFutureTask.run(ScheduledFutureTask.java:170) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.AbstractEventExecutor.safeExecute(AbstractEventExecutor.java:164) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.SingleThreadEventExecutor.runAllTasks(SingleThreadEventExecutor.java:469) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.channel.nio.NioEventLoop.run(NioEventLoop.java:500) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.concurrent.SingleThreadEventExecutor$4.run(SingleThreadEventExecutor.java:986) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at io.netty.util.internal.ThreadExecutorMap$2.run(ThreadExecutorMap.java:74) ~[netty-all-4.1.66.Final.jar:4.1.66.Final]
at java.lang.Thread.run(Thread.java:834) [?:?]

Es geht also um:

ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - javax.net.ssl.SSLException: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca

und

ERROR com.tsystems.gematik.komle.clientmodule.pop3.server.Pop3ProxyServerChannelInitializer - SSL handshake unsuccessful. Cause: {} io.netty.handler.ssl.SslHandshakeTimeoutException: handshake timed out after 10000ms

weiß jemand rat? liegt es an der clientmodule.xml? an ports? musste in der zeit ohne tls keinen port öffnen, thunderbird und eingebautes telematik adressbuch (vzd, ldap ohne s) liefen hervorragend. es muss an den zertifikaten und kettenzertifikaten liegen. im pvs funktioniert immerhin seit der TLS pflicht das suchen nach kim-adressen fabelhaft und das mit ldaps.

[W. Steuber]

Sieht so aus, wenn das Zertifikat nicht akzeptiert wird, weil die Zertifizierungsstelle (ca) unbekannt ist, also das Zertifikat als nicht vertrauenswürdig eingestuft wird.

[olafmito]

https://de.wikipedia.org/wiki/X.509#Dat ... ertifikate
https://www.secunet.com/loesungen/einboxkonnektor
Downloads, Historie: Firmware, Release Notes und Bedienungsanleitungen, mehr lesen, BEDIENUNGSANLEITUNG
https://filex.secunet.com/?t=7f1f574b33 ... 27c94e2db7
konnektorzertifikat => kapitel 5.3.3 TLS-Zertifikat exportieren
clientzertifikat => kapitel 6.5.1 TLS-Zertifikat generieren und im Browser importieren

TLS und Zertifikat ist eng verknüpft wie Calcium und Muskelzelle. wie exportiere ist das zertifikat richtig, so dass es korrekt von thunderbird und kim-clienten eingebunden wird?

[olafmito]

hier ist eine lösung: vorraussetzung ist, dass die clientmodule.xml verändert wird. die verbindung zwischen kim-client und konnektor ist tls-verschlüsselt. von email-clienten (pvs/thunderbird) zum kim-clienten geht es dann ohne verschlüsselung. das geht nicht über ein netzwerk sondern auf ein und dem selben server/laufwerk/ ein und der selben partition: https://www.ti-community.de/t107f5-Prob ... tml#msg658