Dotaz: kmail, import certifikatu

[vjur]

Ahoj, snazim se importovat certifikat do kmailu. Na identite dam Cryptography -> S/MIME signing certificate (change), objevi se okno Your S/MIME signature certificate, kde je muj certifikat se zlutym otaznickem. Jakmile na nej kliknu, tak se u nej zobrazi cerveny krizek a nejde do Kmailu nacist. Verze Kmailu je 1.12.0 (kde 4.3.0). V Kleopatre mam krom sveho certifikatu i certifikat CA, ktera mi certifikat vydala. Muj certifikat je (i podle Kleopatry) platny (neexpiroval). Mate nejake napady, proc to nejde dostat do Kmailu nebo jak mam zjistit, co konkretne mu vadi? Predem diky za odpovedi.

Odpovědi

[petr_p]

Dnes jsem si hrál s gpgsm, který údajně používá i kmail. Pokoušel jsem se rozchodit ověřování podpisů od certifikátů vydaných Českou poštou. Po mnoha utrpěních jsem zjistil, že gpgsm standardně ověřuje platnost certifikátů podle CRL. CRL stahuje z adresy uvedené v certifikátu. U mého certifikátu jsou uvedeny 4 různé adresy a gpgsm (přesněji řečeno dirmngr) vezme tu poslední, která jako na potvoru obsahuje rok a půl starý CRL (ano, takto kvalitní služby poskytuje Česká pošta). Takže ve výsledku dirmngr odpískalo CRL (místo toho aby zkusilo jinou adresu, kde je aktuální) a tudíž gpgsm prohlásilo, že s ověřováním podpisu jsou problémy.

Pokud příčina vaších potíží je stejná, zkuste vypnout ověřování platnosti certifikátu proti CRL.

[vjur]

Diky za tip, ale pricina tech potizi asi bude jinde. Zkusil jsem to vypnout (disable-crl-checks v dirmngr.conf), ale chova se to porad stejne

[kriegel]

V cem je problem nevim, mel jsem podobny problem, reseni bylo snadne...

Zkus import treba do Thunderbirdu, nasledne export a import do Kmailu.

[vjur]

tak nepomohlo ani toto

[petr_p]

A import přes gpgsm --import CERTIFIKÁT pomůže?

[vjur]

Jo, to funguje (jak jsem psal - jestli to dobre chapu, tak Kleopatra je klikatko ke gpgsm). Do Kleopatry se nacte a zobrazi jako validni. Problem je asi ciste jen v nacteni z Kleopatry do Kmailu (Kmail pouziva Kleopatrku jako Certificate manager). Nejhorsi je, ze nemuzu prijit na to, co mu vadi, zkartka po kliknuti na certifikat u nej zobrazi cerveny krizek a to je cely.

[vjur]

Tak jsem se k tomuto problemu po nejakem case vratil a casovy odstup pomohl. Uvedomil jsem si, ze korenovy certifikat mam v Kleopatre v tabu Other Certificates a ze by asi bylo vhodno ho mit v Trusted Certificates. Toto me prvne mozna nenapadlo proto, ze Kleopatra mi nikde nenabizela moznost oznacit certifikat jako trusted. Jde to vsak udelat jednoduse. Staci do souboru ~/.gnupg/trustlist.txt dat fingerprint daneho certifikatu nasledovany mezerou a S. Pote se v Kleopatre certifikat zobrazuje jako trusted a certifikat vydany touto certifikacni autoritou lze bez problemu nacist do Kmailu.