KocoBox rsa2ecc-migration Fehler

Olaf Wehmeyer

Hallo, gerade wollte ich mit dem tomedo Support proaktiv vor Ablauf des Jahres die Kocobox-Clientzertifikate für tomedo und KIM-Client von RSA-2048 auf ECC umstellen lassen. Dabei wurden die ECC Zertfikate korrekt erzeugt, bei Eingabe des Schlüssels in tomedo kam nach mehreren Anläufen jedoch immer eine Fehlermeldung, dass der Schlüssel falsch sei. Rückfragen bei der TI Hotline der CGM waren nicht hilfreich, es würde sich irgendwann vor Ablauf des Jahres jemand bei uns melden wegen der Zertifikateumstellung...

Zwei Probleme könnten m.E. vorliegen:

I) Tatsächlich müssen in der Kocobox noch Anpassungen vorgenommen werden, von denen weder der tomedo Support (weil eigentlich nicht zuständig) noch die CGM wissen, welche genau das sind.

II) Die von der Kocobox erzeugten ECC Zertifikate und Schlüssel können von tomedo nicht verarbeitet werden.

Ich weiß nicht, wie der Sachverhalt gelöst werden kann, aber sehe mich dazu nicht in der Lage und hoffe auf Unterstützung von tomedo, ansonsten kann ich ab 01.01.2026 wohl keine TI mehr nutzen...

Es ist verständlich, dass mit den secunet Konnektoren wohl alles einfacher ist, aber es gibt sichere andere tomedo-Kunden, die sich auch mit der Kocobox rumschlagen und der freundliche Supporter sicherte mir zu, er würde diese Schwierigkeit intern besprechen, um eine Lösung bereitszustellen.

Vielleicht haben ja aber auch andere Forumsteilnehmer dieses Problem schon überwunden und können eine Lösung beisteuern?

Tilman Hesse

Sehr geehrter Herr Wehmeyer,

Sie erhalten einen neuen Termin und der Support schaut sich das nochmal an.

BriMa

Hallo zusammen,

bei mir liegt die selbse Grundkonstellation vor, die Umstellung des Zertifikats in der Kocobox habe ich aber noch nciht vorgenommen. CGM sagt, das Umstellen auf ECC und Erzeugen des neuen Zertifikatsschlüssels ist kein Problem. Der freundlcihe Tomedosupporter meinte, das Einspielen des Zertifikats etc. ist ebenfalls problemlos möglich. Gibt es denn Erfahrungen andeer Nutzer zur oben genannten Situation bzw eine Lösung für das Problem des Kollegen?

Vielen Dank

Keno Hamer

Bei Turbomed gab es folgendes Problem mit der Kocobox: Die Kocobox erstellt ja Zertifikat und Schlüssel. Wenn der Schlüssel das Zeichen = enthielt wurde es nicht akzeptiert. Man musste solange neue Zertifikat/Schlüssel-Kombinationen erzeugen bis kein = im Schlüssel enthalten war...

BriMa

Ich habe heute das 3. oder 4. Mal einen temrin gehabt, heute sagte mir der Kollege, dass das Problem bekannt sei, er aber keinen Workaround kennt. Porblem: beim Import des ECC Zertifikats akzeptiert Tomedo das PAsswort der Kocobox nicht.

GIbt es hierzu Neuigkeiten s.o. stehehden Post?

Danke,

Mfg B Mahn

Andreas Cepin

Ist es das >Gleichheitsszeichen< im Passwort? siehe Post von K. Hamer von September?

BriMa

Der Support meinte nein. Leider.

Tilman Hesse

Wir analysieren weiterhin das Thema mit den ECC Zertifikaten bei manchen Kocoboxen.

In Ihrem Fall kann als Workaround ein RSA-Zertifikat mit 3072 Bit erstellt werden. Das wird funktionieren.

BriMa

Heute konnten wir das Problem löse: Es lag an Sonoma. Das Zertifikat braucht aber Tahoe oder Sequoia. Nach Update gings. Danke an Herrn Dietrich vom Support.

K. Hajian

Hallo zusammen,

ich wollte ein kurzes Update geben, weil ich das gleiche Verhalten wie im ursprünglichen Beitrag erlebe und inzwischen einiges ausprobiert habe.

Ich habe in der KoCoBox ein neues ECC-Clientzertifikat erstellt. Von den beiden ECC-Optionen funktioniert bei mir ECC (secp256r1). Das brainpoolP256r1 Zertifikat lässt sich in Tomedo weiterhin nicht importieren, da Tomedo das Passwort als ungültig meldet.

Das funktionierende ECC-Clientzertifikat konnte ich in Tomedo importieren und CETP/C/CT läuft damit ohne Probleme, solange das Konnektor-Authentisierungszertifikat in der KoCoBox auf C.AK.AUT (RSA) steht.

Sobald ich jedoch in der KoCoBox auf C.AK.AUT2 (ECC) umschalte, schlägt die Verbindung sofort fehl.
Tomedo meldet dann:

„Es ist ein SSL-Fehler aufgetreten. Eine sichere Verbindung zum Server kann nicht hergestellt werden.“

Sobald ich wieder auf das RSA-Zertifikat zurückschalte, funktioniert alles sofort.
Das KIMPlus-Modul kann weiterhin problemlos mit der KoCoBox kommunizieren, unabhängig davon, ob RSA oder ECC aktiv ist.

Da Tomedo das Konnektor-Zertifikat nicht manuell importieren lässt und den Import automatisch durchführt, habe ich keine Möglichkeit, separat die CA für das ECC-Zertifikat (GEM.KOMP-CA6) zu hinterlegen.

Frage in die Runde bzw. an Zollsoft:
Hat jemand C.AK.AUT2 bereits erfolgreich mit Tomedo im Einsatz?
Oder gibt es eine bekannte Einschränkung bei der ECC-Umstellung der KoCoBox, die Tomedo aktuell noch nicht unterstützt?

Keno Hamer

Bei mir hatte die Umstellung auf ECC mit der Kocobox geklappt. Leider habe ich nicht mehr alles so präsent.

Bezüglich des Zertifikates habe ich auch im unteren Bereich "Zertifikat für Authentisierung Konnektor hinzufügen ..." ein Zertifikat erstellt mit dem Namen C.AK.AUT3 . Dieses Zertifikat hat kein Passwort. Ich habe ECC (secp256г1) verwendet.

Nach Umstellung und Konnektor Neustart hat es funktioniert.

Man muss eines der Zertifikate (Client oder Konnektor, weiß ich gerade nicht mehr) sowohl in Tomedo als auch auf dem Server im KIMClient-Modul hinterlegen. Daher sollte man vorher sicherstellen, dass man auch Zugriff auf die Einstellungen hat und auch die Zertifikats-Datein an die richtigen Orte kopieren kann um sie einzulesen.

K. Hajian

kurzes Update: Bei mir funktioniert die Umstellung auf ECC jetzt
Vielen Dank insbesondere an Herrn Hamer für den entscheidenden Hinweis.

Die Lösung war, zusätzlich ein neues Zertifikat für die Authentisierung des Konnektors zu erstellen (bei mir C.AK.AUT3), ohne Passwort und mit ECC (secp256r1).
Nach Aktivierung dieses Zertifikats und einem Konnektor-Neustart konnte Tomedo wieder erfolgreich mit der KoCoBox kommunizieren.

Vielleicht hilft das auch anderen bei der ECC-Umstellung mit der KoCoBox.