Dotaz: pop3.centrum.cz neumoznuje zabezpecenou komunikaci

[JB]

Jiz par dni mi nejede pop3.centrum.cz:995 (pop3 pres ssl/tls).

Pouzivam thunderbird, ktery si overuje platnost certifikatu a ten mi pise, ze pry byl certifikat "revoked".

Konkretne pise toto:

An error occurred during a connection to pop3.centrum.cz:995.

Peer's Certificate has been revoked.

(Error code: sec_error_revoked_certificate)

Mam s tim problem jen ja, nebo je to porblem na centrum.cz ?

Na google a ve forech o tom ticho po pesine.

Podpora centrum.cz na to asi take kasle, hlasil jsem to a zadna odpoved.

Nevite, jak si od nich stahnot postu, abych nemusel sve zpravy a heslo vytroubit do sveta?

 

Odpovědi

[stativ]

revoked certifikát AFAIK znamená něco jako že je „odvolaný“. Tj. pokud ti někdo ukradne privátní klíč, můžeš ho pomocí speciálního klíče zneplatnit, což někdo u centrum.cz nejspíš udělal. PS.: pokud jsou tohle bludy, opravte mě, rád se něčemu přiučím protože o tomhle toho moc nevím.

[JB]

Revoked znamena odvolat, mate pravdu.

Konkretne ta hlaska znamena (dle dokumentace thunderbirda), ze uzivatel certifikatu odvolal prave pouzity certifikat u sveho poskytovatele certifikatu (certifikacni autority).

Muj dotaz je vsak:

Mam s tim problem jen ja, nebo je to bezpecnostni problem na centrum.cz ?

Nevite, jak si od nich stahnot postu, abych nemusel sve zpravy a heslo vytroubit do sveta?

Proste mne stve, ze musim stahovat postu a pritom kazdemu na siti vykecat sve heslo .

Ale i tak dik Vam za prispevek a preji hezky den!

[Heron]

Nesouvisí to s problémy IMAPu na Centrumu?

[JB]

Smutne je, ze o tom podpora tise mlci a nenapise neco ve smyslu: "Provadime spravu serveru a proto jsme zneplatnili certifikaty".

I kdyby meli bezpecnostni incident, nikdo je nemuze podezrivat a kazdy si docasne najdecestu jak na postu.

Tak se lze jen dohadovat ve stylu:

"Asi pouzivaji stejny certifikat jako pro IMAP"

"Kdyz pred nami neco skryvaji, hmm to musi byt neco duleziteho"

... ale to je jen spekulace a klidne to muze byt necim jinym.

 

[vencour]

Tak nevim, na pop.centrum.cz a portu 995 mi kmail stahuje jak divej ... ?

[Pavel]

Vyzkoušeno teď v Thunderbirdu - na pop3.centrum.cz:995 stahuji poštu bez jakékoliv chybové hlášky. Fungovalo mi to i včera...

[vencour]

Jj, totiž asi před rokem mi to u centra hlásilo, že je certifikát psanej na jinou IP adresu (tušim ...) a něco snad bylo i u atlasu ... u centra už nic neřve a atlas už nepoužívam, tak nemam jak ověřit.

Zkuste si vymazat serverovy certifikat Centra ze seznamu serverovych certifikatu a pak tam pridat novy (cekala bych, ze novy se nabidne pri dalsim pokusu o pripojeni). Certifikaty najdete v Thunderbird -> Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Web sites.

[JB]

Dik, za tip. To jsem jiz udelal a nic. Byli tam 2 serverove certifikaty. Jeden pro adresu centrum.cz a druhy pro adresu *.centrum.cz. Ten jen pro centrum.cz byl expirovany nekdy na jare 2008. Ten novy na nej +-4 dny navazoval. Zkousel jsem si certifikaty centrum.cz nekde sehnat pro overeni, ale prozatim jsem nic nenasel.

Je zajimave, ze to nekomu funguje a nekomu ne. Na root.cz jsem videl jeden prispevek do diskuze, kde to take nevali. Mozna je neco s verzi thunderbirda, kazdopadne jsem update nedelal, takze snad soubeh verze thunderbida + nejake zmeny na centrum.cz .

 

Jinak pro porovnani mam thunderbirda z F11 3.02b, takze asi beta.

Komu to jede, muzete sem prosim hodit verzi a distro?

Predem dik!

[vencour]

Thunderbird 2.0.0.21, gentoo, kernel 2.6.29-gentoo-r4, co do certifikátů ... app-misc/ca-certificates 20080809 ... další na požádání (víc mne nenapadá).

[petr_p]

Pokud aplikace tvrdí, že certifikát byl odvolán, tak jediný způsob, jak to může zjistit, je přes OCSP. Takže bych rozdíl hledal tady.

Další možnost bude ta, že za jednou doménou se schovává cluster a jeho uzly mají různé certifikáty. (Tohle se mi už u stalo u Atlasu.)

Dále používat odvolaný certifikát je dost nebezpečné, protože odvolání se dělá, když dojde k vyzrazení klíče, nebo majitel klíč ztratí / nechce používat. Vzhledem k tomu, že se ten certifikát stále používá, tak se se používají i klíče, což je na stejné úrovni, jako když vám někdo ukradne klíč od bytu a vy si nevyměníte zámek.

Osobně bych prudil u provozovatele. Po koupi Atlasu Centrem jim prodloužení certifikátu na IMAP server trvalo víc jak měsíc. Nicméně pokud certifikát nebyl odvolán, tak stačí vysvětlit aplikaci, že kořenem důvěry je on sám, což není nic nebezpečného, a dá se tak fungovat, dokud provozovatel nenainstaluje certifikát nový.