OpenVPN Connect lehnt altes MD5-Zertifikat ab

Notieren Sie die vollständige Meldung zur Zertifikatsprüfung und wann sie zuerst auftrat. Certificate verification failed kann verschiedene Ursachen haben; MD5 ist nur eine davon. Prüfen Sie deshalb nicht wahllos Kennwörter und entfernen Sie keine Prüfoptionen aus dem Profil. Wenn der Zugang nach einem Clientupdate ausfällt, halten Sie die frühere und aktuelle Version fest. Die zeitliche Übereinstimmung kann dem Betreiber bei der Einordnung helfen, beweist aber allein noch nicht den verwendeten Signaturalgorithmus.

Der Betreiber kann mit OpenSSL die Zertifikatsdetails prüfen, etwa mit openssl x509 -in ca.crt -noout -text. Der Dateiname muss durch die tatsächlich zu prüfende Zertifikatsdatei ersetzt werden. Suchen Sie in der Ausgabe nach Signature Algorithm. Steht dort md5WithRSAEncryption, empfiehlt OpenVPN einen zeitgemäß signierten Zertifikatssatz mit mindestens SHA256. Dieser Lesetest ändert keine Schlüssel und benötigt keine Veröffentlichung privater Dateien. Lassen Sie auch die weiteren relevanten Zertifikate der Verbindung durch die zuständige Administration beurteilen.

Fordern Sie vom Betreiber ein aktuelles Profil und die dazugehörigen gültigen Zertifikate an. Die Korrektur muss zur Serverkonfiguration passen; allein ein anderer Dateiname oder ein fremdes Zertifikat genügt nicht. Vereinbaren Sie bei einem ausschließlich per VPN erreichbaren Gerät vor der Umstellung einen unabhängigen Rückweg. Testen Sie anschließend Anmeldung und einen vorgesehenen internen Dienst. Bewahren Sie die Fehlermeldung für die Dokumentation auf, nicht aber unnötige Kopien privater Schlüssel. Ein Downgrade des Clients oder Abschalten der Prüfung würde die Ursache nicht sauber beheben.