WeeChat stellt nur eine Verbindung zum IRC-Server mit SSL her, wenn die Option "ssl_verify" deaktiviert ist

772
Nadim Hussami

Mit WeeChat über das Terminal (unter Arch Linux) kann ich über SSL eine Verbindung zum Freenode-Server herstellen. Kein Problem da.

Wenn ich versuche, eine Verbindung zu einigen IRC-Servern über SSL herzustellen (z. B. ircs.overthewire.org), gibt WeeChat die folgenden Fehler aus:

gnutls: peer's certificate is NOT trusted gnutls: peer's certificate issuer is unknown irc: TLS handshake failed irc: error: Error in the certificate.

Die Verbindung zu solchen Servern mit SSL funktioniert nur, wenn ich gemäß den Hinweisen in den häufig gestellten Fragen von WeeChat Folgendes befolge :

/set irc.server.example.ssl_verify off

Die gleiche FAQ besagt jedoch, dass ich vorsichtig sein sollte, da dies die Sicherheit verringert.

Kann ich das überhaupt beheben oder ist es ein Problem, mit dem ich bei einigen IRC-Servern leben muss?

1

1 Antwort auf die Frage

1
grawity

TLS / SSL funktioniert hier genauso wie mit HTTPS in Webbrowsern. Wenn das Zertifikat des Servers gültig ist, können Sie auf die Website zugreifen. Wenn dies nicht der Fall ist, erhalten Sie vom Browser (Client) eine beängstigende Warnung, da er nicht wissen kann, ob der Validierungsfehler auf die Identität des Servers zurückzuführen ist oder ob es eine harmlose Fehlkonfiguration auf der Website des Administrators ist.

(Und leider sind die meisten IRC-Server-Betreiber nicht daran interessiert, ihre TLS-Zertifikate auf dem neuesten Stand zu halten - oder überhaupt erst gültige Zertifikate zu erhalten.)

In diesem Fall ircs.overthewire.org:6697hat ein TLS - Zertifikat, das mindestens zu früher gültig, aber deren Emittent (StartCom Ltd.) ist nicht mehr vertrauenswürdig von den meisten Systemen aufgrund verschiedener misissuances. Sie erhalten die Meldung "Aussteller ist unbekannt", da in Ihrem Betriebssystem das StartCom-Root-CA-Zertifikat nicht mehr installiert ist.

Sie haben zwei Möglichkeiten:

  • Weisen Sie Weechat anstelle der CA-basierten Validierung an, dieses bestimmte Zertifikat zu akzeptieren , da Sie es mit einer anderen Methode validiert haben. (Grundsätzlich die von SSH verwendete Methode.) Legen Sie dazu die Option SHA-256-Fingerabdruck des Zertifikats (oder den weniger sicheren SHA-1) fest.irc.server.example.ssl_fingerprint

    Die Fingerabdrücke des aktuell vom Server angebotenen Zertifikats sind:

    sha1 = 540fbfe14671915ee939b3a78b8ce52bf45c8e85 sha256 = 5916acbdfff8e1474402c75ccba2858c23e93348607d122e4f3106cbed6ab1ff

    Dies funktioniert solange, bis die Server-Betreiber das Zertifikat ändern. In diesem Fall müssen Sie entweder die Option mit neuen Fingerabdrücken aktualisieren oder es erneut versuchen ssl_verify = on.

  • Nicht empfohlen: Laden Sie die StartCom-Stammzertifizierungsstelle herunter und kennzeichnen Sie sie als vertrauenswürdig in Ihrem Betriebssystem (oder zumindest in Weechat).

Verwandte Probleme