Signer not found; Certificate not trusted

bugmenot

Benutzer

Geschlecht: keine Angabe
Beiträge: 196
Dabei seit: 11 / 2009

Betreff:

Signer not found; Certificate not trusted

· Gepostet: 07.02.2011 - 09:47 Uhr · #1

Hallo zusammen,

ich schaffe es nicht, HBCI für meine Bank in Gnucash einzurichten. Die Fehlermeldung:

Code

Signer not found; Certificate not trusted

Das Zertifikat ist richtig signiert und der Hashwert stimmt auch. Die Zertifikatskette wird sowohl im IE als auch im FF als gültig anerkannt. Ich bekomme aber auch keinen Dialog mehr angezeigt, in dem ich das Zertifikat explizit annehmen kann (schätze, ich habe beim ersten Mal auf Nein gedrückt). Auch ein Löschen der Einstellungen hilft hier nichts.

1. Wie kann ich den "Zertifikat akzeptieren?"-Dialog wieder anzeigen lassen?
2. Da GnuCash derezit AqBanking 4.0 verwendet nehme ich an, die RootCA (oder Kette) ist in dieser Version noch nicht hinterlegt. Wie kann ich diese hinzufügen? (Bank: https://hbci.bw-bank.de/)

Viele Grüße und vielen Dank im Voraus!

Matez

Benutzer

Geschlecht: keine Angabe
Beiträge: 10
Dabei seit: 08 / 2008

Betreff:

Re: Signer not found; Certificate not trusted

· Gepostet: 10.02.2011 - 15:47 Uhr · #2

Hallo Bug me not!

Ich habe das neueste Gnucash 2.4.2 unter WinXP installiert und konnte eben meine Kontoumsätze bei der BW-Bank Stuttgart abrufen.
Die Sytemkennung und das Zertifikat haben keine Probleme gemacht,
zwar hieß es auch "Signer not found; Certificate not trusted", aber der Dialog ging normal weiter.
Du musst evtl. SSLv3 aktivieren.

Was sagt denn die gnucash.trace? (in C:\Dokumente und Einstellungen\... zu finden)

Grüße,
Matez

bugmenot

Benutzer

Geschlecht: keine Angabe
Beiträge: 196
Dabei seit: 11 / 2009

Betreff:

Re: Signer not found; Certificate not trusted

· Gepostet: 11.02.2011 - 10:45 Uhr · #3

Hi,

SSLv3 war schon aktiviert. Bei mehrmaligem Versuchen musste ich feststellen, dass die Abfrage sporadisch funktioniert, allerdings nicht alle Umsätze aufgelistet wurden!!!
Leider lässt sich das Problem nicht näher eingrenzen.

Mit der neuen Version 2.4.2 funktioniert der Abgleich nun wieder.

Dennoch bleich das Problem mit dem nicht vertrauenswürdigen Zertifikat! Ich kann nicht verstehen, wieso die Software an dieser Stelle keine tieferen Infos liefert. Das ist doch wichtig!

Die .trace liefert nur wenig neue Informationen, offenbart aber das volle Ausmaß an Programmierschrott:

Code

*   WARN <qof.engine> [guid_init()] only got 2131 bytes.
The identifiers might not be very random.
*   WARN <gnc.app-utils> Could not spawn perl: Kindprozess konnte nicht ausgeführt werden (No such file or directory)
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> msgengine.c:  388: SystemId requested (deprecated)
*   CRIT <gwenhywfar> io_tls.c: 1258: gnutls_bye: -10 (The specified session has been invalidated for some reason.)
*   CRIT <gwenhywfar> io_tls.c: 1258: gnutls_bye: -10 (The specified session has been invalidated for some reason.)
*   CRIT <gwenhywfar> io_tls.c: 1258: gnutls_bye: -10 (The specified session has been invalidated for some reason.)
*   CRIT <gnc.core-utils> gnc_utf8_strip_invalid: assertion `str' failed
*   CRIT <gnc.core-utils> gnc_utf8_strip_invalid: assertion `str' failed
*   CRIT <GLib> g_strchug: assertion `string != NULL' failed
*   CRIT <GLib> g_strchomp: assertion `string != NULL' failed
*   CRIT <GLib> g_strchug: assertion `string != NULL' failed
*   CRIT <GLib> g_strchomp: assertion `string != NULL' failed
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> msgengine.c:  388: SystemId requested (deprecated)
*   CRIT <gwenhywfar> io_tls.c: 1258: gnutls_bye: -10 (The specified session has been invalidated for some reason.)
*   CRIT <gwenhywfar> io_tls.c: 1156: gnutls_handshake: -9 (A TLS packet with unexpected length was received.) [fatal]
*   CRIT <gwenhywfar> io_tls.c: 1258: gnutls_bye: -10 (The specified session has been invalidated for some reason.)
*   CRIT <aqhbci> outbox.c: 1410: Error performing queue (-1002)
*   WARN <aqbanking> banking_online.c:  141: Not a single job successfully executed
*   WARN <gnc.import.aqbanking> gnc_ab_gettrans: Error on executing job
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> msgengine.c:  388: SystemId requested (deprecated)
*   CRIT <aqhbci> jobqueue.c:  667: Bad PIN flagged: 9942
*   CRIT <aqhbci> jobqueue.c:  667: Bad PIN flagged: 9340
*   CRIT <aqhbci> outbox.c: 1410: Error performing queue (-2)
*   WARN <aqbanking> banking_online.c:  141: Not a single job successfully executed
*   WARN <gnc.import.aqbanking> gnc_ab_gettrans: Error on executing job
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> msgengine.c:  388: SystemId requested (deprecated)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIDASS" (Segnum=11, version=3, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIFGBS" (Segnum=12, version=3, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIFRDS" (Segnum=13, version=1, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HISTPS" (Segnum=16, version=1, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIWPDS" (Segnum=23, version=5, ref=4)
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIDASS" (3) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIFGBS" (3) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIFRDS" (1) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HISTPS" (1) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIWPDS" (5) ignoring
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> msgengine.c:  388: SystemId requested (deprecated)
*   CRIT <gwenhywfar> io_tls.c: 1156: gnutls_handshake: -59 (GnuTLS internal error.) [fatal]
*   CRIT <gwenhywfar> io_tls.c: 1156: gnutls_handshake: -59 (GnuTLS internal error.) [fatal]
*   CRIT <aqhbci> dialog.c:  294: Error sending message for dialog (-66)
*   CRIT <aqhbci> outbox.c: 1410: Error performing queue (-66)
*   WARN <aqbanking> banking_online.c:  141: Not a single job successfully executed
*   WARN <gnc.import.aqbanking> gnc_ab_gettrans: Error on executing job
*   WARN <aqhbci> job.c:  202: Job "JobTan" not supported by your bank
*   WARN <aqhbci> user.c: 1607: Job HKTAN not available
*   WARN <aqhbci> msgengine.c:  388: SystemId requested (deprecated)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIDASS" (Segnum=11, version=3, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIFGBS" (Segnum=12, version=3, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIFRDS" (Segnum=13, version=1, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HISTPS" (Segnum=16, version=1, ref=4)
*   WARN <aqhbci> message.c:  702: Unknown segment "HIWPDS" (Segnum=23, version=5, ref=4)
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIDASS" (3) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIFGBS" (3) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIFRDS" (1) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HISTPS" (1) ignoring
*   WARN <aqhbci> job.c: 1513: Did not find segment "HIWPDS" (5) ignoring
*   CRIT <gnc.import.aqbanking> gnc_plugin_ab_account_selected: assertion `GNC_IS_PLUGIN_PAGE(plugin_page)' failed

Wenn ich das richtig deute, gibt es schon ein Problem beim TLS handshake. Um so verwunderlicher, dass die Umsätze trotzdem abgerufen werden...

aquamaniac

Benutzer

Geschlecht: keine Angabe
Herkunft: Hamburg
Homepage: aqbanking.de/
Beiträge: 642
Dabei seit: 03 / 2005

Betreff:

Re: Signer not found; Certificate not trusted

· Gepostet: 13.02.2011 - 22:57 Uhr · #4

Zitat geschrieben von www.bugmenot.com

Die .trace liefert nur wenig neue Informationen, offenbart aber das volle Ausmaß an Programmierschrott:

Also ehrlich gesagt ist so eine Aussage ("Programmierschrott") fuer mich keine soo grosse Motivation, mich mit Deinem Problem zu beschaeftigen...

Gruss
Martin

Tutamun

Benutzer

Geschlecht: keine Angabe
Beiträge: 3
Dabei seit: 12 / 2005

Betreff:

Re: Signer not found; Certificate not trusted

· Gepostet: 14.02.2011 - 14:20 Uhr · #5

Mit einer neueren AqBanking bzw. gwenhywfar Version wird dem Zertifikat vertraut. "Status : The certificate is valid"

Konkret habe ich gwenhywfar-4.0.5 und aqbanking-5.0.2 unter opensuse 11.3 kompiliert und installiert.

Hintergrund ist das das RootZertifikat mit dem das SSL Zertifikat von https://hbci.bw-bank.de/ unterschrieben wurde abgelaufen war und daher mit einem neuen RootZertifikat unterschrieben wurde. (In Firefox ist dieses neue RootZertifikat bereits fest hinterlegt.)

AqBanking verwendet GnuTLS. Mir ist leider nicht bekannt wie man einem älteren AqBanking das neue RootZertifikat bekannt macht.

Seit AqBanking von OpenSSL auf GnuTLS umgestellt wurde gibt es Probleme das AqBanking nicht mehr richtig mit https://hbci.bw-bank.de/ sprechen kann. Der Fehler dürfte entweder bei GnuTLS oder dem SSL Server der Bank liegen...
*edit* GnuTLS hat bei mir folgende Version: libgnutls26 (2.8.6-2.5.1) *edit*

Bei mir kommt beim abrufen der Konten:

Code

===== Certificate Received =====
The following certificate has been received:
Name        : hbci.bw-bank.de
Organisation: Landesbank Baden-Wuerttemberg
Department  : Baden-Wuerttembergische Bank
Country     : DE
City        : Stuttgart
State       : Baden-Wuerttemberg
Valid after : 2008/09/11 15:40:07
Valid until : 2011/09/12 15:40:07
Hash        : AB:F9:2B:4D:E8:C3:1D:10:C3:47:69:03:76:C9:3A:6D
Status      : The certificate is valid
Do you wish to accept this certificate?
(1) Yes  (2) No
Please enter your choice: 1
Connected.
Sending message...
Message sent.
Waiting for response
Waiting for response...
3:2011/02/11 22-52-57:gwen(30573):syncio_tls.c: 1011: gnutls_record_recv:
-9 (Ein TLS-Paket mit unerwarteter Länge wurde empfangen.)
No message received
No response (timeout)
AqHBCI finished.
3:2011/02/11 22-52-57:aqhbci(30573):provider.c: 1227: Job has errors
3:2011/02/11 22-52-57:(null)(30573):getaccounts.c:  159: Error getting
accounts (-1)
Speicherzugriffsfehler

bugmenot

Benutzer

Geschlecht: keine Angabe
Beiträge: 196
Dabei seit: 11 / 2009

Betreff:

Re: Signer not found; Certificate not trusted

· Gepostet: 22.02.2011 - 08:07 Uhr · #6

Code

Also ehrlich gesagt ist so eine Aussage ("Programmierschrott") fuer mich keine soo grosse Motivation, mich mit Deinem Problem zu beschaeftigen...

Ja, da muss ich mich wohl entschuldigen. Die Credits waren eher an GnuCash gerichtet. Assertions kann man definitv besser abfangen.

Zur Aussage von Tutamun: genau da liegt das Problem! es wäre wirklich hilfreich, wenn die Zertifikate notfalls manuell geupdatet werden könnten. Das angesprochene RootCA (TC TrustCenter Class 3 CA II) besteht seit Januar 2006!