CardDav funktioniert nicht mit Synology Contacts

[admin]

Hallo thorbrandt,

vielen Dank für die zugesendete Logdatei.

Wir konnten die Logdatei inzwischen auswerten und die Ursache des CardDAV-Problems genauer eingrenzen.

Zu Ihrer Rückmeldung vom Wochenende noch ein kurzer Hinweis: Die Pro-Lizenz ist an den Rechner gebunden, auf dem sie aktiviert wurde. Falls Sie die Testversion auf einem anderen Rechner verwendet haben, steht die Pro-Funktionalität dort daher nicht automatisch zur Verfügung.

Die von Ihnen zugesendete Logdatei enthält jedoch die benötigten Informationen, sodass wir die weitere Analyse durchführen konnten.

Ergebnis:

Beim Aufbau der verschlüsselten Verbindung zum CardDAV-Server scheitert die Zertifikatsprüfung. Die Verbindung wird mit folgender Meldung abgebrochen:

certificate verify failed: EE certificate key too weak

Das bedeutet, dass das aktuell von Ihrer Synology für die HTTPS-Verbindung bereitgestellte Zertifikat von der in Smart-SIP-Phone verwendeten CardDAV-Komponente vdirsyncer aufgrund eines zu schwachen Zertifikatsschlüssels abgelehnt wird.

Ein Austausch bzw. eine Aktualisierung des auf der Synology verwendeten HTTPS-Zertifikats kann das Problem beheben. Bei RSA-Zertifikaten sollte dabei ein Schlüssel mit mindestens 2048 Bit verwendet werden.

Dass die Verbindung beispielsweise mit Thunderbird funktioniert, schließt dieses Zertifikatsproblem nicht aus, da andere Anwendungen bei der Zertifikatsprüfung unterschiedlich vorgehen und gegebenenfalls Ausnahmen für bestimmte Zertifikate zulassen.

Unabhängig davon arbeiten wir auch auf unserer Seite daran, die Behandlung solcher Fälle zu verbessern. Zum einen sollen Zertifikatsprobleme zukünftig mit einer deutlich aussagekräftigeren Fehlermeldung angezeigt werden. Zum anderen prüfen wir, wie wir bei internen bzw. nicht regulär vertrauenswürdigen Zertifikaten zukünftig eine bewusste Bestätigung bzw. Ausnahme durch den Benutzer ermöglichen können. Damit sollen künftig auch Konstellationen wie die von Ihnen verwendete Synology-Umgebung direkt in Smart-SIP-Phone nutzbar sein, sofern der Benutzer dem betreffenden Zertifikat ausdrücklich vertraut.

Sobald wir hierzu eine entsprechende Testversion bereitstellen können, können wir Ihnen diese gerne erneut zum Testen zukommen lassen.


Vielen Dank für Ihre Unterstützung bei der Fehlersuche.

Mit freundlichen Grüßen,

Ihr Admin Team

[thorbrandt]

Moin,

Die Synology NAS wird komplett Offline (also nur im internen Netzwerk) betrieben. Daher wird auch kein seperates Zertifkat verwendet, nur das Synology interne Zertifkat.
Es wäre schön, wenn Sie eine solche Testversion zur Verfügung stellen könnten. Denn sobald das ganze funktioniert würde ich gerne ihre Software kaufen.

Liebe Grüße
Eric

[admin]

Hallo Eric,

vielen Dank für die zusätzlichen Informationen.

Wir konnten den Fehler inzwischen auch in einer eigenen Testumgebung reproduzieren. Der Abbruch erfolgt bereits beim Aufbau der verschlüsselten Verbindung mit der Meldung:

certificate verify failed: EE certificate key too weak

Die Ursache liegt damit in der aktuell verwendeten Zertifikatskonfiguration Ihrer Synology. Smart-SIP-Phone verwendet für den CardDAV-Zugriff eine Bibliothek, deren TLS-Komponente das von der Synology bereitgestellte Zertifikat aufgrund der Schlüsselstärke ablehnt.

Thunderbird verwendet eine andere TLS-/Zertifikatsimplementierung und kann dadurch bei bestimmten älteren oder internen Zertifikaten zu einer anderen Bewertung kommen. Es handelt sich daher nicht um einen CardDAV-Fehler, sondern um unterschiedliche Sicherheitsanforderungen der jeweils verwendeten Komponenten.

Aktuell können wir noch nicht sagen, ob und in welcher Form sich für diesen konkreten Fall eine Ausnahme in Smart-SIP-Phone umsetzen lässt.

Sollten wir eine Version bereitstellen können, die auch mit dieser Zertifikatskonstellation funktioniert, kommen wir gerne noch einmal auf Sie zu. Einen Zeitpunkt können wir dafür derzeit jedoch nicht nennen.

Mit freundlichen Grüßen,

Ihr Admin Team

[thorbrandt]

Das wäre sehr nett.

[admin]

Hallo Eric,

wir haben Ihnen soeben per Direktnachricht eine neue Testversion zukommen lassen.

In dieser Version können interne bzw. nicht regulär vertrauenswürdige Zertifikate über ihren Fingerprint gezielt akzeptiert werden. Damit könnte die CardDAV-Verbindung auch mit Ihrer aktuellen Synology-Zertifikatskonfiguration funktionieren.

Über eine kurze Rückmeldung zum Testergebnis würden wir uns freuen.

Mit freundlichen Grüßen,

Ihr Admin Team

[thorbrandt]

Vielen Dank. Ich bin die Woche nicht zu Hause und kann es erst nächste Woche testen. Ich gebe Ihnen dann Bescheid.

[thorbrandt]

Moin,

Carddav importieren funktioniert nun, aber telefonieren geht nicht. Ich bekomme folgende Fehlermeldung.

Smart Sip Phone Pro error.png (20.14 KiB) 684 mal betrachtet

Es wird auch bei den Devices nur "Default" angezeigt.

Audio:
Device-1: Advanced Micro Devices [AMD/ATI] Navi 21/23 HDMI/DP Audio
driver: snd_hda_intel v: kernel pcie: speed: 16 GT/s lanes: 16
bus-ID: 0d:00.1 chip-ID: 1002:ab28 class-ID: 0403
Device-2: Advanced Micro Devices [AMD] Family 17h HD Audio vendor: ASUSTeK
driver: snd_hda_intel v: kernel pcie: speed: 8 GT/s lanes: 16
bus-ID: 10:00.3 chip-ID: 1022:1457 class-ID: 0403
Device-3: Superlux digit E205U driver: hid-generic,snd-usb-audio,usbhid
type: USB rev: 1.1 speed: 12 Mb/s lanes: 1 bus-ID: 5-4:5 chip-ID: 0205:0001
class-ID: 0300
API: ALSA v: k7.2.4-arch1-2 status: kernel-api
Server-1: sndiod v: N/A status: off
Server-2: PipeWire v: 1.6.8 status: active with: 1: pipewire-pulse
status: active 2: wireplumber status: active 3: pipewire-alsa type: plugin
4: pw-jack type: plugin

[admin]

Hallo thorbrandt,

vielen Dank für deine Rückmeldung.
Leider konnte ich das unter ArchLinux bei mir nicht feststellen.
Der zuständige Kollege ist diese Woche leider nicht da, aber ich werde mich mit Ihm nächste Woche da dran setzen

Mit freundlichen Grüßen,

Das Smart-SIP-Phone Team

[thorbrandt]

Ok, vielen Dank. Es handelt sich dabei um Cachy OS (arch).

Liege Grüße