fetchmail, web.de und Fingerprint

[Andreas Kohlbach]

Ein Bekannter ohne Usenet-Zugriff ist bei web.de und hat seit kurzem
Probleme mit dem Zertifikat beim Holen von Mails via fetchmail.

| fetchmail: Keine Post für xxx bei pop3.web.de
| fetchmail: Fehler bei Server-Zertifikat-Überprüfung: certificate
| signature failure

Wir hatten schon diverse "sslfingerprint" im Web gefunden und
ausprobiert. Ich hatte per openssl auch einen aus dem aktuellen Zertifikat
von web.de heraus gezogen. Nichts funktionierte. Vielleicht ist noch ein
anderer Fehler in der Zeile.

Hier einer der Versuche - mit maskierten persönlichen Daten:

poll pop3.web.de protocol pop3 username der_name password xxxxxxxx is
user ssl sslfingerprint "08:83:27:0F:91:4A:32:15:A8:46:78:23:1E:C5:B1:16"
mda +"/usr/bin/procmail -f %F -d %T" sslcertck sslcertpath /etc/ssl/certs

/etc/ssl/certs ist vorhanden und hat wohl einen Haufen Dateien drin bei ihm.

Ist jemand bei web.de Kunde und hat eine funktionierende Zeile dafür in
seiner .fetchmailrc? Könnte er die, nach Entfernen seines Passworts, dann
mal hier posten?

[Heiko Schlenker]

Post by Andreas Kohlbach
Wir hatten schon diverse "sslfingerprint" im Web gefunden und
ausprobiert. Ich hatte per openssl auch einen aus dem aktuellen Zertifikat
von web.de heraus gezogen. Nichts funktionierte. Vielleicht ist noch ein
anderer Fehler in der Zeile.

Typische Fehlerquellen:
- Die fetchmail-Version ist veraltet.
- Das Wurzelzertifikat ist nicht installiert.
- Das Serverzertifikat ist installiert, was man *nicht* tun sollte.
Es genügt, den Fingerabdruck anzugeben.
- Es ist vergessen worden, nach der Installation eines neuen
Zertifikats "update-ca-certificates", "c_rehash" o.ä. aufzurufen.

Post by Andreas Kohlbach
Ist jemand bei web.de Kunde und hat eine funktionierende Zeile dafür in
seiner .fetchmailrc? Könnte er die, nach Entfernen seines Passworts, dann
mal hier posten?

fetchmail 6.3.21:
#v+
set syslog
set no bouncemail
set no spambounce
set invisible
set postmaster "postmaster"

poll imap.web.de proto imap service 993 timeout 70 tracepolls
user "mustermann", with password "geheim", is musterfrau here no rewrite no mimedecode limit 2400000 ssl antispam -1 sslfingerprint "49:E1:8A:90:DA:15:D4:A9:CF:A4:6C:E0:9E:BF:13:6F" sslcertck sslcertpath /etc/ssl/certs;
#v-

Gruß, Heiko

[Andreas Kohlbach]

Post by Heiko Schlenker

Post by Andreas Kohlbach
Wir hatten schon diverse "sslfingerprint" im Web gefunden und
ausprobiert. Ich hatte per openssl auch einen aus dem aktuellen Zertifikat
von web.de heraus gezogen. Nichts funktionierte. Vielleicht ist noch ein
anderer Fehler in der Zeile.

- Die fetchmail-Version ist veraltet.
- Das Wurzelzertifikat ist nicht installiert.
- Das Serverzertifikat ist installiert, was man *nicht* tun sollte.
Es genügt, den Fingerabdruck anzugeben.
- Es ist vergessen worden, nach der Installation eines neuen
Zertifikats "update-ca-certificates", "c_rehash" o.ä. aufzurufen.

Das sollte automatisch geschehen, so man sich auf die per Paketmanager
installierten Zertifikate verlässt.

Post by Heiko Schlenker

Post by Andreas Kohlbach
Ist jemand bei web.de Kunde und hat eine funktionierende Zeile dafür in
seiner .fetchmailrc? Könnte er die, nach Entfernen seines Passworts, dann
mal hier posten?

#v+
set syslog
set no bouncemail
set no spambounce
set invisible
set postmaster "postmaster"
poll imap.web.de proto imap service 993 timeout 70 tracepolls
user "mustermann", with password "geheim", is musterfrau here no rewrite no mimedecode limit 2400000 ssl antispam -1 sslfingerprint "49:E1:8A:90:DA:15:D4:A9:CF:A4:6C:E0:9E:BF:13:6F" sslcertck sslcertpath /etc/ssl/certs;
#v-

Danke, leite ich weiter.