IIS SSL certificaat werkt niet in IE, wel in Safari

[Henkje.doc]

Situatie:
Bij het beveiligen van een webapplicatie met SSL certificate lukt het niet om vanaf een Client de bewuste URL te benaderen vanuit Internet Explorer.

Bij het benaderen van de pagina komt er een pop-up waarin om username / ww wordt gevraagt. ALs deze wordt doorgeklikt blijft de popup komen. Daarnaast

Het certificaat lijkt dus niet te worden gekozen. Op de Client (XP SP2) staat een clientcertificaat (met private key) incl certicate chain goed geinstalleerd. Op de server (Win 2k3) draait een servercertificaat met dezelfde chain.

Client authenticatie en mapping is via IIS aangezet.

Het grappige is dat via de webbrowser Safari het geheel direct werkt zonder verdere configuratie. Wat ik begrepen heb maakt Safari gebruik van CryptoAPI en lijkt het dus op dat punt ook goed te zijn.

Firefox 3.04 geeft een error waaruit te herleiden is dat de issuer onbekend is. Firefox maakt gebruik van de PKCS#12 standaard en dat zou de iets andere foutmelding kunnen verklaren.

Zelf heb ik het idee dat er binnen IIS een bepaalde Trust over het hoofd wordt gezien, helaas kan ik niet terugvinden hoe en wat.

Een certificaat van een andere uitgever functioneert wel (helaas kan deze voor het uiteindelijke doel niet gebruikt worden). Mogelijk dat dit met key-usage of extended key-usage te maken heeft.

Alvast dank voor reacties.

Opgelost (zie onderstaande oplossing / richtlijnen)

[Henkje.doc]

Inmiddels hebben we een oplossing gevonden voor dit probleem.

Het zit als volgt in elkaar:

na het bestuderen van de SSL handshake met wireshark viel op dat bij Safari dit wel plaatsvindt, echter binnen IE niet.

Na het opschonen van de applicatieserver met een aantal rootca's die overbodig waren werd het certificaat wel juist uitgelezen. Je wil eigenlijk ook niet dat zomaar elke ca vertrouwd kan worden, maar juist een beperkt aantal.

Microsoft heeft een limiet van ongeveer 15kb ingestelt met lijst van ca's die de applicatie vertrouwd. Als deze lijst default is dan staan er al vrij veel ca's in en dan zijn alle zaken die je later zelf toevoegd (eigen ca's e.d.) gaan dan verkeerd.

Staat der Nederlanden cetrtificaten werken dus altijd wel aangezien het root ca van staat der nederlanden aanwezig is, echter eigen ca's dus niet.

Hopelijk hebben in de toekomst meer tweakers iets aan deze toelichting, want het blijft een leuke puzzel.