HBCIBatch und Zertifikatwechsel

kanguru

Betreff:

HBCIBatch und Zertifikatwechsel

· Gepostet: 17.01.2012 - 11:29 Uhr · #80779

Hallo,

ich nutzt HBCIBatch um automatisch Kontoumsätze abzurufen. Das funktioniert soweit prima. Nun hat sich aber das SSL-Zertifikat von der fiducia geändert. Nun bekomme ich nur noch eine Fehlermeldung:

Code

<ERR> [2012.01.17 11:05:51.022] [main/main] manager.HBCIUtils: org.kapott.hbci.exceptions.HBCI_Exception: Fehler beim Senden der HBCI-Nachricht zum Server
  at org.kapott.hbci.comm.CommPinTan.ping(CommPinTan.java:147)
  at org.kapott.hbci.comm.Comm.pingpong(Comm.java:66)
  at org.kapott.hbci.manager.HBCIKernelImpl.rawDoIt(HBCIKernelImpl.java:352)
  at org.kapott.hbci.manager.HBCIKernelImpl.rawDoIt(HBCIKernelImpl.java:178)
  at org.kapott.hbci.manager.HBCIDialog.doDialogInit(HBCIDialog.java:149)
  at org.kapott.hbci.manager.HBCIDialog.doIt(HBCIDialog.java:402)
  at org.kapott.hbci.manager.HBCIHandler.execute(HBCIHandler.java:456)
  at org.kapott.hbci.tools.HBCIBatch.main(HBCIBatch.java:404)
Caused by: javax.net.ssl.SSLHandshakeException: sun.security.validator.ValidatorException: PKIX path validation failed: java.security.cert.CertPathValidatorException: Path does not chain with any of the trust anchors
  at sun.security.ssl.Alerts.getSSLException(Alerts.java:192)
  at sun.security.ssl.SSLSocketImpl.fatal(SSLSocketImpl.java:1697)
  at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:258)
  at sun.security.ssl.Handshaker.fatalSE(Handshaker.java:252)
  at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1165)
  at sun.security.ssl.ClientHandshaker.processMessage(ClientHandshaker.java:154)
  at sun.security.ssl.Handshaker.processLoop(Handshaker.java:610)
  at sun.security.ssl.Handshaker.process_record(Handshaker.java:546)
  at sun.security.ssl.SSLSocketImpl.readRecord(SSLSocketImpl.java:945)
  at sun.security.ssl.SSLSocketImpl.performInitialHandshake(SSLSocketImpl.java:1190)
  at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1217)
  at sun.security.ssl.SSLSocketImpl.startHandshake(SSLSocketImpl.java:1201)
  at sun.net.www.protocol.https.HttpsClient.afterConnect(HttpsClient.java:440)
  at sun.net.www.protocol.https.AbstractDelegateHttpsURLConnection.connect(AbstractDelegateHttpsURLConnection.java:185)
  at sun.net.www.protocol.https.HttpsURLConnectionImpl.connect(HttpsURLConnectionImpl.java:153)
  at org.kapott.hbci.comm.CommPinTan.ping(CommPinTan.java:137)
  ... 7 more
Caused by: sun.security.validator.ValidatorException: PKIX path validation failed: java.security.cert.CertPathValidatorException: Path does not chain with any of the trust anchors
  at sun.security.validator.PKIXValidator.doValidate(PKIXValidator.java:288)
  at sun.security.validator.PKIXValidator.doValidate(PKIXValidator.java:271)
  at sun.security.validator.PKIXValidator.engineValidate(PKIXValidator.java:181)
  at sun.security.validator.Validator.validate(Validator.java:235)
  at sun.security.ssl.X509TrustManagerImpl.validate(X509TrustManagerImpl.java:147)
  at sun.security.ssl.X509TrustManagerImpl.checkServerTrusted(X509TrustManagerImpl.java:230)
  at sun.security.ssl.X509TrustManagerImpl.checkServerTrusted(X509TrustManagerImpl.java:270)
  at sun.security.ssl.ClientHandshaker.serverCertificate(ClientHandshaker.java:1144)
  ... 18 more
Caused by: java.security.cert.CertPathValidatorException: Path does not chain with any of the trust anchors
  at sun.security.provider.certpath.PKIXCertPathValidator.engineValidate(PKIXCertPathValidator.java:204)
  at java.security.cert.CertPathValidator.validate(CertPathValidator.java:267)
  at sun.security.validator.PKIXValidator.doValidate(PKIXValidator.java:283)
  ... 25 more

Wo wird das alte Zertifikat gespeichert? Wie kann ich es löschen und durch das neue ersetzen lassen?

Gruß kanguru

hibiscus

Betreff:

Re: HBCIBatch und Zertifikatwechsel

· Gepostet: 22.01.2012 - 01:43 Uhr · #80846

Zitat

Wo wird das alte Zertifikat gespeichert?

Na dort, wo auch das bisherige gespeichert ist.

Zitat

Wie kann ich es löschen und durch das neue ersetzen lassen?

Ich nehme an, dass das bisherige Zertifikat von einer CA signiert war, die im Stammzertifikatesspeicher von Java enthalten ist. Das neue ist das vermutlich nicht mehr. Also muesstest du das neue Server-Zertifikat (oder das zugehoerige CA-Zertifikat) in den Java-Kestore importieren.

Das ist aber nichts HBCI4Java-spezifisches sondern rein Java-spezifisches. Mit so einer Frage bist du vermutlich in einem Java-Forum besser aufgehoben. Oder google halt mal nach "java import certificate keystore".

David

Betreff:

Re: HBCIBatch und Zertifikatwechsel

· Gepostet: 25.01.2012 - 12:59 Uhr · #80910

Hibiscus zeigt mir an, daß Fiducia einen unbekannten Schlüssel verwendet.

MD5-Fingerabdruck:
13:DA:A0:BF:0E:DE:DC:3F:1D:41:52:D8:F1:A6:52:8E
SHA1-Fingerabdruck:
44:F2:36:4D:49:8A:F8:8C:A8:E2:19:DF:5C:60:74:C6:41:3A:FC:7A

Soweit ich das verstanden habe, sollte man den Fingerabdruck verifizieren - wie macht ihr denn das? Oder einfach auf OK klicken, weil Verisign/Fiducia angezeigt wird und das schon seine Richtigkeit haben wird?

Auf der Fiducia-Website ist der Fingerprint nicht zu finden. Ein Anruf dort stieß auf völliges Unverständnis. Bei der Bank kennt sich damit erst recht keiner aus "gehen Sie auf unsere Website... PIN...TAN... blabla"

hibiscus

Betreff:

Re: HBCIBatch und Zertifikatwechsel

· Gepostet: 25.01.2012 - 13:02 Uhr · #80911

Siehe

http://www.onlinebanking-forum…hp?t=13982
http://www.onlinebanking-forum…hp?t=13980

kanguru

Betreff:

Re: HBCIBatch und Zertifikatwechsel

· Gepostet: 25.01.2012 - 13:08 Uhr · #80913

Zitat geschrieben von hibiscus

Zitat

Wo wird das alte Zertifikat gespeichert?

Na dort, wo auch das bisherige gespeichert ist.

Zitat

Wie kann ich es löschen und durch das neue ersetzen lassen?

Ich hatte vorher nichts explizit gespeichert. Hatte einfach gefunzt, daher denke ich, dass es irgendwohin automatisch gespeichert wurde.

Habe nun versucht das CA-Zertifikat zu importieren, bekomme da aber die Meldung, dass sei auf dem System vorhanden. Hab im Keystore geguckt, ist drin. Dann hab ich mir das Bank-Zertifikat in den Keystore (neu angelegt, war nicht vorhanden) für den User gelegt und auch damit gab es leider keine Besserung.

Gruß Kanguru

hibiscus

Betreff:

Re: HBCIBatch und Zertifikatwechsel

· Gepostet: 25.01.2012 - 14:25 Uhr · #80919

Zitat geschrieben von kanguru

Ich hatte vorher nichts explizit gespeichert. Hatte einfach gefunzt, daher denke ich, dass es irgendwohin automatisch gespeichert wurde.

Dann war das Zertifikate vorher sicher von einer CA signiert, die im Stammspeicher enthalten ist. Das sollte ja eigentlich auch der Normalfall sein.

Zitat geschrieben von kanguru

Habe nun versucht das CA-Zertifikat zu importieren, bekomme da aber die Meldung, dass sei auf dem System vorhanden.

Java speichert die Zertifikate im Keystore unter einem Alias-Namen. Ich meine mich zu erinnern, dass Java den Common-Name verwendet, wenn kein Alias beim Import angegeben ist. Es koennte also entweder sein, dass du vorher erst das bisherige CA-Zertifikat loeschen muesstest, bevor du das neue importieren kannst. Oder aber, das Zertifikat, welches du importieren willst, ist gar nicht das neue sondern das bisherige. Wo hast du das CA-Zertifikat denn her?

kanguru

Betreff:

Re: HBCIBatch und Zertifikatwechsel

· Gepostet: 25.01.2012 - 15:35 Uhr · #80924

https://hbci11.fiducia.de/
Da hab ich mir im Browser die Daten zum Zertifikat angesehen. Das Class 3 CA - G3 ist bei mir in den java/cacerts enthalten. Hatte mir diese bei Verisign (http://www.verisign.com/support/roots.html) runtergeladen und versucht zum importieren, worauf ich die Meldung bekam, es sei schon im System da.
Der User unter dem ich hbci4java aufrufe hat keine .keystore in seinem home-dir.

Inzwischen habe ich auch das hier http://www.certificat-ssl.eu/FAQ/en/600.html importiert, aber dennoch klappts nicht.

Gruß Kanguru