Zertifizierte eMails vom iPhone nicht lesbar

[Chris1337]

Moin ihr Lieben!

Ich habe mir ein S/MIME-Zertifikat von DGN für meine eMailadresse angefordert und dieses auch erhalten und installiert ( Windows 10 ).
In meinem Mail-Client ( Tobit.David ) ist dieses Zertifikat auch installiert und ausgewählt. eMails vom Clienten ( am PC ) werden auch korrekt als signiert verschickt und sind beim Empfänger sicht- und lesbar ( auch wenn noch keine Zertifikate ausgetauscht wurden ).
Auch auf dem iPhone 11 Pro mit aktuellster iOS-Version und ohne Jailbreak sind die eMails vom Clienten ohne Probleme lesbar.

Verschicke ich jedoch eine eMail über die Mail-App von iOS mit aktiviertem Zertifikat, kommen die eMails beim Empfänger zwar an, sind aber leer ( weiß ) und im Anhang ist eine .P7S-Datei. Obwohl ich einen Inhalt auf dem iPhone verfasst habe.
Das Hauptzertifikat ist auf dem iPhone 11 Pro installiert, genauso wurde das 'Root der dgnservice (dgnservice Root 3)'-Zertifikat und 'dgnservice Root 3:pN'-Zertifikat unter 'So funktioniert's' nachinstalliert, jedoch werden die eMails auch dann zwar verschickt, aber ohne Inhalt, obwohl es einen Inhalt gibt. Und die eMails werden auch nicht als signierte eMails angezeigt, wenn sie vom iPhone aus verschickt wurden.
Auch, wenn ich die aktuellen Zertifikate ( 'Root 7 der dgnservice' und 'dgnservice CA 2 Type E' ) anstelle der o.g. installiere.
Egal, ob ich übers WLAN oder im mobilen Netz die eMails verschicke.

Woran liegt das und was mache ich falsch?
Oder geht der signierte eMail-Versand vom iPhone ( aktuelle noch ) nicht?
Habe leider kein iPad oder Macbook, um es auf einem anderen iDevice zu testen. Aber es soll doch angeblich auch vom iPhone gehen?

Danke euch schon mal für die Hilfe!

 

[Wuchtbrumme]

Woran liegt das und was mache ich falsch?

Habe schon länger S/MIME nicht mehr benutzt.
Ich könnte mir aber vorstellen, dass Du Deinen öffentlichen Schlüssel nicht auf dem Mac oder nicht korrekt auf dem Mac installiert hast (vertrauen?).

 

[Chris1337]

Also von DGN kam nur diese Antwort:

Wenn beim Empfänger eine p7s-Datei ankommt ist das richtig so. Das ist genau der signierte Teil der Nachricht, also stimmt mit unserem Zertifikat alles.

Wenn Sie Probleme mit dem iPhone haben, wenden Sie sich bitte dort an den Support.

Gruß

Auf einem geliehenen Macbook Pro kann ich meinen Exchange-Account gar nicht erst hinzufügen.
Es kommt ein Fehler, dass der Accountname / Passwort nicht überprüft werden konnten.
Komischer Weise sind die Zugangsdaten genau die Selben, wie auf dem iPhone und da gehts ohne Probleme ( zum Mindest der Zugang ). Morgen bekomme ich noch ein iPad aus 2021 von der Firma geliehen und werde es dort ebenfalls mal probieren.
Das Problem ist, ich habe kein Microsoft Exchange, sondern nutze Tobit.David als eMail-Server. Bisher klappt das problemlos, nur eben mit der Signierung und Verschlüsselung kamen die Probleme....

Werde aber das Thema Signierung und Verschlüsselung wohl beiseite legen, da ich für jeden eMail-Account einen User bei Tobit.David bräuchte. Ich müsste also 4 User-Lizenzen dazukaufen und dann noch die deutlichen Mehrkosten für sitecare im Jahr tragen ( wären also ca. 400 EUR Lizenzen und pro Jahr um die 190 EUR für sitecare, zahle jetzt nur 60 EUR für sitecare ).

Das ist mir der 'Haken' nicht wert....

 

[kolvi]

ich nutze S/MIME für bestimmte email-adressen mit einem kostenfreien Zertifikat von actalis.it, Einbindung war problemlos und es funktioniert auf iMac, MacBook, iPhone und iPad problemlos... Das Problem, welches eher existiert, ist die schiere Menge an nicht verschlüsselten E-Mail accounts, d.h. kaum einer hat / nutzt S/MIME, so dass dann doch immer unverschlüsselt gesendet wird...
aber im professionellen Umfeld sind ggf. die Anforderungen schon andere, da finde ich die Antwort DGN und die mangelnde Unterstützung sitecare schon befremdlich... immer einfach, es den anderen in die Schuhe zu schieben...
Allerdings hat es bei mir auch gebraucht, bis ich die Schlüssel alle ordentlich auf meinen Geräten (insbesondere den mobilen) installiert hatte...

 

[Chris1337]

Wie gesagt, da ich auch auf dem geliehenen iPad Pro die Signierung nicht zum Laufen bekomme, obwohl ich alles korrekt eingerichtet habe, wie auf der DGN-Seite beschrieben, werde ich die Signierung übers iPhone bzw. mobil einstellen.
Dann werden eben nur über den DAVID PC-Client die eMails signiert, wenn es anders nicht machbar ist.

 

[Ijon Tichy]

Signierte E-Mails vom iPhone oder iPad funktionieren an sich absolut problemlos. Was bei dir nicht funktioniert, ist etwas rätselhaft. Die p7s-Datei ist die eigentliche Signatur. Wenn der Inhalt nicht angezeigt wird, könnte es eine sog. opake Signatur sein, aber ich meine, das iOS nicht opak signiert. Wenn statt der Signatur die p7s-Datei angezeigt wird, heißt das, dass der Empfänger-Client nicht versteht, was das ist.

Funktioniert es denn, wenn du eine signierte Email an dich selbst schickst und sie auf dem iPhone anschaust?

 

[Chris1337]

Ich kann dir auch nicht sagen, was da genau schief läuft.
Habe das angeforderte Zertifikat auf dem iPhone installiert und sogar noch die anderen beiden, die auf DGN unter Downloads stehen.
Von DGN kam einfach nur die Antwort, wenn die eMails als Anhang die P7S-Datei enthalten, stimmt alles.
Kann ja aber nicht, weil die eMails leer sind ( vom Inhalt her ), obwohl ich etwas geschrieben habe.
Am PC-Client von Tobit.David ist alles super, die eMails kann ich auch auf dem iPhone mit dem Haken sehen und lesen.

Mir selber kann ich keine eMail schicken, da diese vom Tobit.David als eigene eMail erkannt wird und nur intern verarbeitet wird. Es geht also nichts über die Server 'außen'.

Könnte es evtl. daran liegen, dass ich die Zertifikate auf dem Windows-Server installieren muss, wo mein Tobit.David drauf läuft?
Aber das dürfte ja eigl. egal sein, weil die ja auf dem iPhone auch installiert sind.

 

[Ijon Tichy]

Mir selber kann ich keine eMail schicken, da diese vom Tobit.David als eigene eMail erkannt wird und nur intern verarbeitet wird. Es geht also nichts über die Server 'außen'.

Das ist ganz egal, ob das über „außen“ geht oder nicht. An der Mail selbst ändert das nichts. Es wäre also interessant zu wissen, was du siehst, wenn du eine signierte Mail vom iPhone an dich selbst sendest und sie dort dann auch ansiehst.

Hast du openssl irgendwo installiert oder könntest das tun? Dann könnte man damit die Mail mal analysieren.

 

[Ijon Tichy]

Außerdem ist mir nicht ganz klar, welchen Provider du verwendest. Oben sprichst du von Exchange, aber auch von Tobit.David - was ist das? Versendest du da über einen SMTP-Server und empfängst über IMAP oder ist das was anderes? Und was hat Exchange damit zu tun?

Du verwendest irgendwo einen Tobit.David-Client (was immer das ist), aber auf dem iPhone reden wir schon von iOS-Mail, oder?

 

[Chris1337]

Also wenn ich mir selber eine Mail schicke, geht das über den Internen-Port, anstelle über den PostMan.
Deswegen kommen die eMails auch korrekt an, wenn ich mir selber eine eMail schicke.
Und wie und was ist OpenSSL? Kenne mich da nicht wirklich aus.

Einen Provider nutze ich nicht. Ich hoste meinen eigenen eMail-Server für meine Hauptadresse.
Diese rufe ich über Tobit.David ab und verschicke damit meine eMails und empfange diese.
Tobit.David ist ein eMail-Client, der auf meinem Windows Server 2019 läuft.
Und ja, verschickt wird dann über einen SMTP-Dienst, empfangen über POP3.
Auf dem iPhone nutze ich das reine Mail-Programm von iOS, welches aber als Serveradresse die Adresse vom Tobit.David nutzt, anders geht das ja nicht.

Und genau da liegt das nächste Problem:
Nutze ich eine weitere eMailadresse, geht dies nicht mehr mit dem Signieren, da ich nur einen Nutzer für Tobit.David habe. Möchte ich mehr als nur eine eMailadresse signieren, muss ich weitere Benutzer anlegen, welche ich jährlich bei Tobit.David bezahlen muss. Klappt also nicht.

Und wie gesagt, schicke ich eine signierte eMail an eine externe Adresse, kommt die eMail nur mit einem P7S-Anhang an und als leere eMail, obwohl ein Text in der eMail steht.
Es klappt also nicht vom iPhone, verschicke ich die selbe eMail über den Tobit.David PC-Client, wird diese signiert und auch korrekt bei der anderen eMailadresse angezeigt.

 

[Ijon Tichy]

Uff, also sorry, ich komme immer noch nicht mit. Vielleicht Schritt für Schritt:

Dein interner Mailserver, über den du verschickst, was ist das für eine Software?

Und hat der einen Uplink konfiguriertet oder stellt der die Mails selbst direkt zu?

Wenn Uplink, dann: was ist das für eine Software?

 

[Ijon Tichy]

P. S.

Und nochmal die Frage: wo kommt Exchange ins Spiel? Ich frage, weil Exchange Server bekannt dafür ist, signierte Mails kaputt zu machen…

 

[AndaleR]

Tobit.David - was ist das?

The Ultimate Information Server.™ - Überblick

The Ultimate Information Server.™

tobit.software

Wahrscheinlich geht es um das - aber ich verstehe hier den Einsatz als Mail-Server nicht?
Und sollte man, wen man mit OpenSSL eigentlich nichts anfangen kann, einen eigenen Server betreiben? Was läuft alles über den Server?

Es wird Software benutzt und die kostenlos - und jetzt sollte das Bezahlen irgendwie umgangen werden?