Die Luft für Nutzer selbstsignierter SSL Zertifikate wird immer dünner.
Schon vor einiger Zeit berichteten wir darüber, dass Windows Phone keine selbst signierten Zertifikate unterstützt. Diese Problem ist nun bei einem anderen Kunden wieder aufgetaucht, der nun auch mit einem Nokia Lumia experimentieren wollte. Erschwerend war hier nun aber, dass auch der Zugriff auf die Traveler-Weboberfläche mit Firefox plötzlich nicht mehr möglich war. Statt der erwarteten Anmeldemaske erschien eine Fehlermeldung, die einem mitteilte, dass das Zertifikat ungültig sei. Keine Möglichkeit mehr, die Meldung zu ignorieren bzw. eine Ausnahme hinzuzufügen.

Dazu gibt es seit gestern eine Technote bei IBM.
Es gibt offenbar mit Firefox 31 einen neuen Validierungsalgorithmus für SSL-Zertifikate, der das neue Verhalten zeigt. Diesen kann man über die Konfiguration (about:config) deaktivieren, um das alte Verhalten zurück zu bekommen. Das ist natürlich aus mehreren Gründen keine langfristige Lösung:

• Der alte Algorithmus wird mit der Zeit aus Firefox ausgebaut werden (laut Mozilla Wiki), so dass man sich dem Problem mittelfristig wieder wird stellen müssen.
• Es ist zu viel Aufwand, wenn man das nicht zentral steuern kann - was vermutlich nicht bei allen Unternehmen der Fall ist
• Es bedeutet einen vermutlich sichereren Algorithmus mutwillig zu deaktivieren, weil man...
• ...nicht das ohnehin sicherere, aber kostenpflichtige/-günstige, vertrauenswürdige Zertifikat kaufen möchte.

-> Also besser gleich ein Zertifikat einer vertrauenswürdigen CA ausstellen lassen.


BTW: Die von IBM vorgeschlagene "Lösung" funktioniert .

Update vom 06.08.

...zumindest manchmal.

In dem Fall, in dem es funktionierte, hatte ich vorher noch nie mit diesem Browser auf den fraglichen Server zugegriffen.

Jetzt habe ich mit meinem lokalen Testserver noch ein paar Dinge ausprobiert und stellte dabei fest, dass die "Lösung" von IBM eben nicht immer zuverlässig funktioniert.

Erst habe ich noch versucht, die Zertifikate-Datenbank (cert8.db) im Firefox-Profil zu löschen, aber das brachte keine Erleichterung. Erst die Zurücksetzung über about:support hat das Problem gelöst - auf Kosten meiner Einstellungen und Addons. Dabei wird aber auch selbstverständlich die oben beschriebene Einstellung ebenfalls zurückgesetzt und es funktioniert nachher dennoch. Hier muss also offensichtlich noch einiges klargestellt werden.


Offenbar speichert Firefox die temporären Zertifikate besuchter Webseiten noch anderswo als nur in der cert8.db und beim Wechsel des Algorithmus wird die entsprechende Datenbank anscheinend "korrumpiert".


Wenn hier jemand noch weitere Hinweise geben kann. Willkommen