Newsgroup: it.comp.sicurezza.varie
Titolo: Certificati classe 1 al posto di startcomca.com

Devo rinnovare dei certificati per singoli account di posta, mi potete 
consigliare qualcosa di facile emissione? :-)
Prima usavo quelli di 
startcomca.com
 (StartSSL).
 
Grazie.


https://letsencrypt.org/
 

g4b0 wrote on 02/10/17 09:50:

Non c'entra con quello che cerco, direi.
S/MIME per la posta.

 
 
mah così :-D

 
 
Ecco fatto con questo gratuito:
https://www.comodo.com/home/email-security/free-email-certificate.php
 


Scusa, avevo letto veloce e pensavo ti servisse un certificato per un 
server email, mi ha tratto in in inganno il fatto che usassi Startcom, 
anche io prima del disastro ero con loro. Ora io con Postfix uso certbot 
& co e mi trovo bene.
Per l'encryption end to end uso OpenPGP, mai usato S/MIME, ma forse in 
ambito Microsoft é piú user friendly. 
 
g4b0


I certificati di certbot vanno bene anche per postfix?
Ho provato gli autofirmati ma c'è sempre la segnalazione di errore per 
certificato non valido. I server se ne fregano, i client no
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
 
www.robyt.eu
 
 

 certificato non valido. I server se ne fregano, i client no
 
Magari i tuoi client non trustano Let's Encrypt? Di che client parliamo?
Questo é il mio client openssl:
 
############################################################
############################################################
############################################################
$ openssl s_client -connect xxx.yy:25 -starttls smtp
CONNECTED(00000003)
depth=2 O = Digital Signature Trust Co., CN = DST Root CA X3
verify return:1
depth=1 C = US, O = Let's Encrypt, CN = Let's Encrypt Authority X3
verify return:1
depth=0 CN = mail.xxx.yy
verify return:1
---
Certificate chain
 0 s:/CN=mail.xxx.yy
   i:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
 1 s:/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
   i:/O=Digital Signature Trust Co./CN=DST Root CA X3
---
Server certificate
-----BEGIN CERTIFICATE-----
MIIFAzCCA+ugAwIBAgISA7Hu4PQf0vGQPBGfav+Xi8IkMA0GCSqGSIb3DQEBCwUA
MEoxCzAJBgNVBAYTAlVTMRYwFAYDVQQKEw1MZXQncyBFbmNyeXB0MSMwIQYDVQQD
 
[...snip...]
 
0VlDrYAJk8xztx8caUCUxXgOI64HPSvrnC/CgwSoPyWszPTCb54D
-----END CERTIFICATE-----
subject=/CN=mail.xxx.yy
issuer=/C=US/O=Let's Encrypt/CN=Let's Encrypt Authority X3
---
No client certificate CA names sent
Peer signing digest: SHA512
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 3343 bytes and written 436 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1.2
    Cipher    : ECDHE-RSA-AES256-GCM-SHA384
    Session-ID: 848F679F13393B688071...
    Session-ID-ctx: 
    Master-Key: 95099818596F3D459...
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    TLS session ticket lifetime hint: 7200 (seconds)
    TLS session ticket:
    0000 - da 88 54 ef 4b 33 9c 06-05 3d e0 60 dd d9 3a 
 
[...snip...]
 
    Start Time: 1507014344
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---
250 DSN
############################################################
############################################################
############################################################
 
g4b0

 Questo é il mio client openssl:
No no, ho degli autofirmati, non let's encrypt.
Però volevo automatizzare la cosa e quindi devo cercare qualcsoa che faccia 
un po' tutto da solo.


 faccia un po' tutto da solo.
 
Allora vai di letsencrypt e certbot in un cron e ti dimentichi del 
problema. Il mio certificato per esempio si é auto aggiornato i primo di 
ottobre e me ne sono accorto durante questa discussione :)
 
my 2 cent
g4b0

 g4b0


 
 
Ottimo. Le prime volte avrai l'ansia da rinnovo, o almeno io l'avevo, poi 
é andato tutto liscio e l'ultima volta mi sono persino dimenticato di 
controllare.
 
Mi chiedo perché la gente continui ancora a spendere fior di quattrini 
presso le vecchie CA, ma credo che sia una latenza fisiologica del genere 
umano. Oppure mi sfugge qualcosa, sarebbe interessante intavolare una 
discussione tecnico/economica in questa sede.
 
g4b0


Una domanda.. ho la maggior parte dei clienti che ha messo come server di 
posta 
pop.nomedominio.it
 e 
smtp.nomedominio.it
 
ora gli da errore perché il certificato è a nome della macchina.. posso fare 
uno script che tira fuori i nomi singoli ma qual è il limite di -d che posso 
mettere? 10? 1000?


 che posso mettere? 10? 1000?
ufff. no, pochi domini e funziona su postfix/dovecot ma poi quando devo 
creare un certificato mi fa il check sullo webserver ma non c'è uno 
webserver li.
Mi sa che è un possente casino


 Mi sa che è un possente casino
 
https://community.letsencrypt.org/t/s-mime-certificates/153
 
 
https://community.letsencrypt.org/t/automatic-created-personal-s-mime-certificate-with-using-eid-from-eu/36982
 
 
 
 
 
 

 
https://www.comodo.com/home/email-security/free-email-certificate.php
 
 
Come funzionano i certificati per la posta?
Immagino che sia utile per la posta inviata mentre quella ricevuta 
rimane normale..
 
Anche tutti i destinatari per leggere il messaggio devono avere lo 
stesso certificato?
 
E se non ce l'hanno viene scaricato automaticamente?

 
https://community.letsencrypt.org/t/automatic-created-personal-s-mime-certificate-with-using-eid-from-eu/36982
 
 
mmm.. no.
Il mio problema è che il server si chiama 
pop.tosnet.it
 mentre il cliente 
cerca 
pop.suodominio.com
 
Il client si vede arrivare un altro certificato e si altera.
E con un account più di 100 certificati non vedono (mentre l'istanza di 
postfix una è..)


 E poi, il costo dei certificati si è abbastanza ridotto.
 
Interessante, non ci avevo pensato. Anche se penso che nel 99,9% dei casi 
non serva, o venga visto come un costo di troppo.
 
É interessante che i certificati delle homepage di Google e di Facebook 
non abbiano OU.
 
Inoltre O ed OU non vengono evidenziati dal browser, per cui cosa se ne 
farebbe per esempio un ecommerce? Dal punto di vista del suo target basta 
avere un lucchettino verde, no?
 
g4b0

 postfix una è..)
 
Ma prima come facevi? Un certificato self-signed per ogni dominio?
 
g4b0

 cliente cerca 
pop.suodominio.com
 
 
Hmmm... ok, ho capito; per curiosità, 
pop.pincopalla.com
 è un CNAME che
punta a 
pop.tosnet.it
 oppure un record A ?
 


record pop->smtp
smtp è un A (lo metto come MX)



no. solo che li avevo appena installati e quindi il problema c'era solo 
nelle nuove email ed essendo ss me lo aspettavo.
Ora si stanno incavolando i client già configurati


 0_°
che ho fatto di male???


 Anche se....
 
Anche se.... ??
 
g4b0
 

 record pop->smtp smtp è un A (lo metto come MX)
 
A livello DNS secondo me sei a posto, per quanto riguarda la conf di 
postfix secondo me no. Sul link che ti ho girato dicono che devi avere un 
indirizzo IP per ogni dominio per poter gestire certificati ssl diversi, 
ma forse c'é qualche workaround possibile.
 
Prova a chiedere su i.c.o.l.s, da quelle parti ne mastica(va)no di postfix 
e simili
 
g4b0

> Comunque esiste il plugin apposito
 
Non serve, in alcuni casi l'O viene visualizzato direttamente dal 
browser: 
https://www.intesasanpaolo.com/
 
 
Di tutte le banche che ho provato sanpaolo é l'unica, sarebbe 
interessante capire come ha fatto. Anche se al di fuori dell'ambito 
bancario mi pare una fuffa per riempire di buzzword una riunuione di 
markettari. 

 g4b0


 
 
Ah... beh, Robè; magari non ho capito la situazione oppure hai dei
motivi per usare una configurazione del genere, ma sinceramente, dal
poco che so, mi sembra che tu ti stia complicando la vita; cerco di
spiegarmi, supponiamo di avere nella zona DNS di 
tosnet.it
 una cosa del
genere
 
mx01   IN A   192.0.2.10
mx02   IN A   192.0.2.100
 
smtp   IN A   192.0.2.200
pop    IN A   192.0.2.201
imap   IN A   192.0.2.201
 
@      IN MX 10 
mx01.tosnet.it
.
@      IN MX 20 
mx02.tosnet.it
.
 
@      IN TXT "v=spf1 mx -all"
 
 
in breve, mx01/mx02 (.
tosnet.it
) sono dichiarati come MX ossia come gli
hosts abilitati ad effettuare il mail routing (ricezione email da
domini esterni ed invio email verso domini esterni) e rifiutano
qualsiasi tentativo di autenticazione (del resto, non gli serve); mentre
l'accesso (autenticato) degli utenti a pop/imap/smtp avviene tramite
gli altri hosts (smtp/pop/imap); sin qui, credo sia chiaro; a questo
punto, supponendo di avere un cliente, diciamo "
pincopalla.it
", la zona
DNS del cliente in questione potrà essere qualcosa di questo tipo
 
smtp   IN CNAME 
smtp.tosnet.it
.
pop    IN CNAME 
pop.tosnet.it
.
imap   IN CNAME 
imap.tosnet.it
.
 
@      IN MX 10 
mx01.tosnet.it
.
@      IN MX 20 
mx02.tosnet.it
.
 
@      IN TXT "v=spf1 include:
tosnet.it
 -all"
 
credo che una configurazione del genere (ok, in "real life" potrebbe
essere più complessa, ma spero di aver reso l'idea) possa essere più
semplice da gestire, sia dal punto di vista del DNS sia per quanto
riguarda il/i server di posta; non credi :) ?
 
Ovviamente, per un "service provider", come ho scritto sopra, la zona
DNS (e l'infrastuttura) potrebbe anche essere più complessa, includendo
MX multipli e punti di emissione della email diversificati e da usare
per i clienti "untrusted" ;)
 

 [cit])
 
Eh... se io avessi previsto tutto questo ...
 
<sigh>
 
:)
 

ArchiPit wrote on 04/10/17 13:05:

Il certificato lo puoi usare per due funzioni:
- firmare (nel senso che la tua email è effettivamente quella da cui è stato 
spedito un messaggio);
- criptare
 
La seconda opzione vale se corrispondi con persone di cui hai i certificati.
Nel client che uso io che è quasi uguale a Thunderbird si tratta solo di 
selezionare che certificato vuoi usare, dopo aver convalidato la email ricevuta 
da Comodo.
Per mandare il proprio certificato basta firmare un messaggio quando lo 
spedisci, il che si riduce a selezionare una voce di menù nella finestra di 
composizione email :-)
 
ciao
Gabriele


Grazie mille!
 
Ciao
ArchiPit

 
https://addons.mozilla.org/it/
 firefox/addon/skip-cert-error/
 
 
 
