CardDav funktioniert nicht mit Synology Contacts

[admin]

Hallo thorbrandt,

vielen Dank für die zugesendete Logdatei.

Wir konnten die Logdatei inzwischen auswerten und die Ursache des CardDAV-Problems genauer eingrenzen.

Zu Ihrer Rückmeldung vom Wochenende noch ein kurzer Hinweis: Die Pro-Lizenz ist an den Rechner gebunden, auf dem sie aktiviert wurde. Falls Sie die Testversion auf einem anderen Rechner verwendet haben, steht die Pro-Funktionalität dort daher nicht automatisch zur Verfügung.

Die von Ihnen zugesendete Logdatei enthält jedoch die benötigten Informationen, sodass wir die weitere Analyse durchführen konnten.

Ergebnis:

Beim Aufbau der verschlüsselten Verbindung zum CardDAV-Server scheitert die Zertifikatsprüfung. Die Verbindung wird mit folgender Meldung abgebrochen:

certificate verify failed: EE certificate key too weak

Das bedeutet, dass das aktuell von Ihrer Synology für die HTTPS-Verbindung bereitgestellte Zertifikat von der in Smart-SIP-Phone verwendeten CardDAV-Komponente vdirsyncer aufgrund eines zu schwachen Zertifikatsschlüssels abgelehnt wird.

Ein Austausch bzw. eine Aktualisierung des auf der Synology verwendeten HTTPS-Zertifikats kann das Problem beheben. Bei RSA-Zertifikaten sollte dabei ein Schlüssel mit mindestens 2048 Bit verwendet werden.

Dass die Verbindung beispielsweise mit Thunderbird funktioniert, schließt dieses Zertifikatsproblem nicht aus, da andere Anwendungen bei der Zertifikatsprüfung unterschiedlich vorgehen und gegebenenfalls Ausnahmen für bestimmte Zertifikate zulassen.

Unabhängig davon arbeiten wir auch auf unserer Seite daran, die Behandlung solcher Fälle zu verbessern. Zum einen sollen Zertifikatsprobleme zukünftig mit einer deutlich aussagekräftigeren Fehlermeldung angezeigt werden. Zum anderen prüfen wir, wie wir bei internen bzw. nicht regulär vertrauenswürdigen Zertifikaten zukünftig eine bewusste Bestätigung bzw. Ausnahme durch den Benutzer ermöglichen können. Damit sollen künftig auch Konstellationen wie die von Ihnen verwendete Synology-Umgebung direkt in Smart-SIP-Phone nutzbar sein, sofern der Benutzer dem betreffenden Zertifikat ausdrücklich vertraut.

Sobald wir hierzu eine entsprechende Testversion bereitstellen können, können wir Ihnen diese gerne erneut zum Testen zukommen lassen.


Vielen Dank für Ihre Unterstützung bei der Fehlersuche.

Mit freundlichen Grüßen,

Ihr Admin Team

[thorbrandt]

Moin,

Die Synology NAS wird komplett Offline (also nur im internen Netzwerk) betrieben. Daher wird auch kein seperates Zertifkat verwendet, nur das Synology interne Zertifkat.
Es wäre schön, wenn Sie eine solche Testversion zur Verfügung stellen könnten. Denn sobald das ganze funktioniert würde ich gerne ihre Software kaufen.

Liebe Grüße
Eric

[admin]

Hallo Eric,

vielen Dank für die zusätzlichen Informationen.

Wir konnten den Fehler inzwischen auch in einer eigenen Testumgebung reproduzieren. Der Abbruch erfolgt bereits beim Aufbau der verschlüsselten Verbindung mit der Meldung:

certificate verify failed: EE certificate key too weak

Die Ursache liegt damit in der aktuell verwendeten Zertifikatskonfiguration Ihrer Synology. Smart-SIP-Phone verwendet für den CardDAV-Zugriff eine Bibliothek, deren TLS-Komponente das von der Synology bereitgestellte Zertifikat aufgrund der Schlüsselstärke ablehnt.

Thunderbird verwendet eine andere TLS-/Zertifikatsimplementierung und kann dadurch bei bestimmten älteren oder internen Zertifikaten zu einer anderen Bewertung kommen. Es handelt sich daher nicht um einen CardDAV-Fehler, sondern um unterschiedliche Sicherheitsanforderungen der jeweils verwendeten Komponenten.

Aktuell können wir noch nicht sagen, ob und in welcher Form sich für diesen konkreten Fall eine Ausnahme in Smart-SIP-Phone umsetzen lässt.

Sollten wir eine Version bereitstellen können, die auch mit dieser Zertifikatskonstellation funktioniert, kommen wir gerne noch einmal auf Sie zu. Einen Zeitpunkt können wir dafür derzeit jedoch nicht nennen.

Mit freundlichen Grüßen,

Ihr Admin Team

[thorbrandt]

Das wäre sehr nett.