Wie installiere ich ein selbst-signiertes SSL-Zertifikat?

Hallo rsbrux,

ein „Profil“ ist unter iPadOS ein Konfigurationspaket, das bestimmte Einstellungen oder Zertifikate enthalten kann. Das Zertifikat wird dabei als sogenannte Zertifikat-Payload installiert. Mit einer Geräteverwaltung oder einem MDM hat das zunächst nichts zu tun.

Die Meldung „Invalid profile“ deutet darauf hin, dass iPadOS die bereitgestellte Datei nicht als gültiges Zertifikat oder Konfigurationsprofil verarbeiten kann.

Ich würde daher zunächst Folgendes prüfen:

Exportiere ausschließlich das öffentliche Root-CA-Zertifikat – keinesfalls den privaten Schlüssel und zunächst auch nicht die vollständige, zusammengefügte Zertifikatskette. Am zuverlässigsten ist eine einzelne DER-codierte Datei mit der Endung „.cer“ oder „.crt“.

Nach dem Öffnen der Datei sollte unter

„Einstellungen“ > „Allgemein“ > „VPN und Geräteverwaltung“

ein geladenes Profil erscheinen. Dort kann das Zertifikat installiert werden.

Anschließend ist noch ein zweiter Schritt erforderlich:

„Einstellungen“ > „Allgemein“ > „Info“ > „Zertifikatsvertrauenseinstellungen“

Dort muss unter „Volles Vertrauen für Root-Zertifikate aktivieren“ das installierte Root-Zertifikat eingeschaltet werden.

Falls eine Intermediate-CA verwendet wird, muss auch deren Zertifikat auf dem iPad vorhanden sein. Außerdem muss das Serverzertifikat der NAS den tatsächlich verwendeten Namen der NAS in der SAN-Erweiterung enthalten. Erfolgt der Zugriff über eine IP-Adresse, muss auch diese IP-Adresse im Zertifikat eingetragen sein.

Erscheint bereits beim Öffnen der Datei die Meldung „Invalid profile“, wäre noch wichtig zu wissen, welche Dateiendung und Kodierung die exportierte Zertifikatsdatei besitzt. Eine PEM-Datei, die mehrere hintereinander eingefügte Zertifikate enthält, wäre eine naheliegende Ursache.

Alternativ lässt sich auf einem Mac mit Apple Configurator ein korrektes Konfigurationsprofil erstellen, das das Root-Zertifikat als Zertifikat-Payload enthält.

Quellen:

Apple Support, „Konfigurationsprofil auf iPhone, iPad oder Apple Vision Pro installieren“, Artikelnummer 102400.

Apple Support, „Manuell installierten Zertifikatsprofilen in iOS, iPadOS und visionOS vertrauen“, Artikelnummer 102390.

Beste Grüße & viel Erfolg 🌺

Gern geschehen, rsbrux,

die Apple-Fehlercodes findet man in der Entwicklerdokumentation unter „Security Framework Result Codes“. Der Code −25294 steht dort für „errSecNoSuchKeychain“.

Dass Root- und Serverzertifikat nun importiert sind, reicht leider nicht aus, wenn das von DSM präsentierte Serverzertifikat formale Anforderungen nicht erfüllt. Öffne dieses Zertifikat in der Schlüsselbundverwaltung und prüfe insbesondere:

– enthält „Subject Alternative Name“ genau den verwendeten DNS-Namen oder die IP-Adresse?

– enthält „Extended Key Usage“ den Eintrag „TLS Web Server Authentication“?

– verwendet es mindestens RSA 2048 Bit und eine SHA-2-Signatur?

– ist die Zertifikatskette vollständig und die Gültigkeitsdauer nicht ungewöhnlich lang?

„Immer vertrauen“ kann einen unpassenden Hostnamen oder ein nicht standardkonformes Serverzertifikat nicht zuverlässig ausgleichen. Wahrscheinlich muss das Zertifikat anschließend in DSM mit korrigierten Angaben neu erstellt werden.

Liebe Grüße! 🌺

Gern geschehen, rsbrux,

wenn unter „Zertifikatsvertrauenseinstellungen“ der Abschnitt „Volles Vertrauen für Root-Zertifikate aktivieren“ nicht angezeigt wird, wurde sehr wahrscheinlich nicht das Root-CA-Zertifikat installiert, sondern beispielsweise das Server- oder ein Zwischenzertifikat.

Prüfe daher zunächst unter „Allgemein“ > „VPN und Geräteverwaltung“, ob dort ein entsprechendes Profil aufgeführt ist, und entferne es gegebenenfalls wieder. Wähle anschließend aus den von Synology erzeugten Dateien gezielt das öffentliche Root-CA-Zertifikat aus. Dieses ist üblicherweise als Zertifizierungsstelle ausgewiesen und selbstsigniert, sodass bei „Aussteller“ und „Antragsteller“ dieselbe Stelle eingetragen ist.

Die Meldung auf dem Mac kann unter anderem durch einen fehlenden oder unpassenden SAN-Eintrag, eine ungeeignete Zertifikatsverwendung oder eine nicht akzeptierte Signatur verursacht werden. Nähere Einzelheiten lassen sich in der Schlüsselbundverwaltung prüfen, indem du das betreffende Zertifikat öffnest.

Apple Configurator ist kostenlos im Apple App Store erhältlich. Zunächst würde ich jedoch das korrekte Root-Zertifikat identifizieren und installieren.

→ Apple Configurator - Apple App Store

Beste Grüße & viel Erfolg 🌺

Hallo rsbrux,

deine Angaben grenzen die Ursache inzwischen recht deutlich ein: Wenn im Serverzertifikat keine „Extended Key Usage“ mit „TLS Web Server Authentication“ enthalten ist, dürfte genau das ein wesentlicher Grund für die Meldung „not standards compliant“ sein. Die erfolgreiche Kettenprüfung bestätigt lediglich, dass die Zertifikate kryptografisch zusammenpassen; sie bestätigt nicht, dass das Serverzertifikat alle Anforderungen für HTTPS erfüllt.

Die zusätzlich vorhandenen „Netscape“-Erweiterungen deuten eher auf eine ältere Zertifikatsvorlage hin. Du benötigst daher voraussichtlich ein neu erstelltes Serverzertifikat mit passenden SAN-Einträgen und der Verwendung „Server Authentication“, signiert von deiner Root-CA.

Die konkrete Erstellung hängt vom verwendeten Zertifikatswerkzeug ab und würde den Rahmen dieses Apple-Threads inzwischen überschreiten. Dafür wäre die Dokumentation des verwendeten CA- beziehungsweise OpenSSL-Werkzeugs der nächste sinnvolle Schritt.

Liebe Grüße! 🌺

Der Fehler −25294 lässt sich recht gut eingrenzen: Er weist darauf hin, dass der für den Import ausgewählte Schlüsselbund nicht gefunden wird oder für diesen Vorgang nicht unterstützt ist. Gegen das Root-Zertifikat selbst spricht das zunächst nicht.

Öffne die Schlüsselbundverwaltung und wähle erneut „Ablage“ > „Objekte importieren“. Achte im Importdialog darauf, als Ziel ausdrücklich den Schlüsselbund „Anmeldung“ oder „System“ auszuwählen – nicht „iCloud“ oder „Lokale Objekte“. Beim Schlüsselbund „System“ kann es erforderlich sein, ihn zuvor zu entsperren und ein Administratorkennwort einzugeben.

Wenn der Import gelingt, kannst du das Zertifikat anschließend öffnen und die Vertrauenseinstellungen prüfen. Tritt der Fehler dagegen bei beiden Zielschlüsselbunden weiterhin auf, müssten als Nächstes die PEM-Datei und gegebenenfalls der betreffende Schlüsselbund näher untersucht werden.

Liebe Grüße! 🌺