CSR maken met ISS 7.5 cert voor SMTP, ISS, OWA, RWA

[Verwijderd]

Beste Tweakers,

Kan ik een CSR aanmaken met IIS 7.5 en dan het certificaat wat voorkomt uit dit CSR gebruiken voor niet alleen IIS, maar ook voor Exchange 2010: SMTP, POP3, IMAP. ActiveSync etc...

Ik gebruik SBS 2011 maar de certificate wizard in de SBS console laat me geen keylength (bv. 3072 of 4096 bit) configureren vandaar dat ik graag IIS zou willen gebruiken, maar ik vraag me af of ik het Cert. dan ook voor de Exchange services kan gebruiken.

Mijn tweede (minder belangrijke vraag):

Ik zou graag een ECC SSL certificaat aanschaffen omdat IIS dan veiligere ciphersuites ondersteunt (zie:http://forums.iis.net/t/1201043.aspx?TLS+1+2+w+ECDHE+GCM+on+IIS+7+5)

Kan ik compatibiliteitsproblemen verwachten als ik een ECC SSL certificaat aanschaf in plaats van een RSA certificaat?
Met compatibiliteitsproblemen doel ik met name op het niet (beveiligd) kunnen verbinden met andere mailservers en / of dat andere mailservers geen connectie kunnen krijgen met mijn Exchange-server; dat verouderde browsers geen verbinding meer kunnen maken met (bijvoorbeeld) OWA, vind ik geen probleem.

Alvast bedankt voor uw input.

[Linke Loe]

Om antwoord te geven op je eerste vraag: Ja, dat kan en is in mijn ogen eigenlijk de enige juiste manier. Ik kan me echter niet voorstellen, dat een beheerder van een Exchange omgeving niet weet hoe dit moet, of niet weet hoe Google werkt. Heb je zelf al wat uitgezocht hierover?

[Dennism]

Voor Exchange zou ik hier even naar kijken: https://blogs.technet.mic...e-tls-ssl-best-practices/

Cert aanvragen op SBS moet zowel via IIS als via de Exchange management shell kunnen als je de wizard niet wil gebruiken.

[Jester-NL]

Het aanmaken van de CSR kun je doen via SBS, IIS, Exchange, Powershell of de MMC (certificaten-plugin). Het resultaat is in alle gevallen hetzelfde: een opgeslagen private key, met de daarbij vehorende public-key.
Persoonlijk zou ik kiezen voor het aanmaken via de certificaten-plugin van de MMC. Daar heb je meer vrijheid dan via de ingebouwde wizards in (bijvoorbeeld) Exchange en IIS. Het eerste waar ik dan aan denk is het exporteerbaar maken van je private key.
Het certificaat kun je - als het uitgegeven is - gewoon via diezelfde plugin installeren waarna het beschikbaar is binnen alle (MS) applicaties die het willen gebruiken... het binden verschilt niet.

Voor wat betreft ECC: Ook daarvoor is de certificaat-plugin het meest praktisch, je moet namelijk een andere cryptografische key opgeven, de "ECDSA_P256, Microsoft Software Key Storage Provider". Voor de rest is de aanmaak van je CSR identiek.
Met deze ECC-CSR kun je aankloppen bij een SSL-verkoper. Uitgevers die je een ECC-certificaat kunnen leveren zijn (onder andere) Symantec, Thawte, Geotrust, Comodo en Globalsign (zo uit mijn hoofd).

[Verwijderd]

Linke Loe schreef op dinsdag 17 mei 2016 @ 22:14:
Om antwoord te geven op je eerste vraag: Ja, dat kan en is in mijn ogen eigenlijk de enige juiste manier. Ik kan me echter niet voorstellen, dat een beheerder van een Exchange omgeving niet weet hoe dit moet, of niet weet hoe Google werkt. Heb je zelf al wat uitgezocht hierover?

Jij denkt dat ik niet eerder gezocht heb op het internet? Ik heb me helemaal suf gegoogeld maar heb het antwoord op mijn vraag niet kunnen vinden.

[Verwijderd]

Jester-NL schreef op woensdag 18 mei 2016 @ 08:10:
Het aanmaken van de CSR kun je doen via SBS, IIS, Exchange, Powershell of de MMC (certificaten-plugin). Het resultaat is in alle gevallen hetzelfde: een opgeslagen private key, met de daarbij vehorende public-key.
Persoonlijk zou ik kiezen voor het aanmaken via de certificaten-plugin van de MMC. Daar heb je meer vrijheid dan via de ingebouwde wizards in (bijvoorbeeld) Exchange en IIS. Het eerste waar ik dan aan denk is het exporteerbaar maken van je private key.
Het certificaat kun je - als het uitgegeven is - gewoon via diezelfde plugin installeren waarna het beschikbaar is binnen alle (MS) applicaties die het willen gebruiken... het binden verschilt niet.

Voor wat betreft ECC: Ook daarvoor is de certificaat-plugin het meest praktisch, je moet namelijk een andere cryptografische key opgeven, de "ECDSA_P256, Microsoft Software Key Storage Provider". Voor de rest is de aanmaak van je CSR identiek.
Met deze ECC-CSR kun je aankloppen bij een SSL-verkoper. Uitgevers die je een ECC-certificaat kunnen leveren zijn (onder andere) Symantec, Thawte, Geotrust, Comodo en Globalsign (zo uit mijn hoofd).

Ja maar kunnen andere SMTP-servers ook overweg met een moderner ECC SSL certificaat of loop ik dan tegen problemen aan?

[Linke Loe]

Verwijderd schreef op donderdag 19 mei 2016 @ 21:24:
[...]


Jij denkt dat ik niet eerder gezocht heb op het internet? Ik heb me helemaal suf gegoogeld maar heb het antwoord op mijn vraag niet kunnen vinden.

Het is hier vrij gangbaar, dat je in je openingspost aangeeft wat je zelf al gedaan hebt om de antwoorden op je vragen te vinden. Je zal vast wel gegoogled hebben, maar dat blijkt niet uit je openingspost.

[Jester-NL]

Je certificaat heeft nauwelijks iets met het (SMTP-)protocol of mailtransport te maken. Het certificaat doet iets op je server.
Tenzij je te maken hebt met gebruikers met verschrikkelijk verouderde en niet meer ondersteunde software, zou er geen probleem moeten zijn om een ECC-certificaat te gebruiken.

[Verwijderd]

Oke ik weet genoeg bedankt!