Kennwortfehler bei der Installation von exportierter .p12-Datei in Firefox v.59.x.x.x in Windows
Seit der Version 59.0.1 hat Mozilla die kryptographische Iteration von .p12-Dateien, die von Firefox exportiert werden, geändert. Das Format solcher Dateien (mit der Endung .p12 oder.pfx) wird als PKCS12 bezeichnet.
Die Iteration: Der private Schlüssel wird durch einen kryptographischen Algorithmus (z.B. 3DES) geschützt, der n mal wiederholt wird, wobei n = 1 000 000 000 (1 Million) ab der Version 59.0.1; die Zahl n' war früher viel kleiner (z.B. 2048).
Die PKCS12-Datei besteht in der Regel aus 4 oder 3 Teilen:
Der private Schlüssel verschlüsselt n'-Zeiten (Iteration).
- Die Zertifikatskette:
- Hauptwurzelzertifikat der Zertifizierungsstelle (CAcert Class 1 root),
- Zwischenzertifikat der Zertifizierungsstelle (CAcert Klasse 3 root; kann entfallen, wenn Ihr Zertifikat mit Klasse 1 signiert ist),
- Ihr Zertifikat mit dem entsprechenden öffentlichen Schlüssel.
Der Entschlüsselungsalgorithmus von Windows kann keine 1 Million Iterationen durchführen. Die Fehlermeldung "Falsches Passwort" wird dann gemeldet, obwohl das Passwort korrekt sein kann.
Die Problemumgehung besteht einfach darin, eine frühere Version von Firefox (bis 58.0.2) zu verwenden und die .p12-Datei damit zu erstellen.
Die ausgeklügeltere Methode besteht im Import/Export von .p12-Dateien, die von Firefox 59.x.x mit einer anderen Software wie openssl oder XCA erzeugt wurden. Diese Manipulation ist relativ komplex und erfordert eine mehrmalige, fehlerfreie Eingabe des Passwortes. Wenn Sie interessiert sind, verwenden Sie OpenSSL für Windows (Downloads):
openssl pkcs12 -in <backup-file-from-Firefox>.p12 -passin pass:<password> -passout pass:<password> | openssl pkcs12 -export -out <backup-file-for-windows>.pfx -passin pass:<password> -passout pass:<password> |
Sie müssen das gleiche Passwort 4 mal eingeben, denn der erste Befehl entschlüsselt PKCS12 (1.), verschlüsselt es in PEM (2.), und der zweite Befehl entschlüsselt PEM (3.) und verschlüsselt es schließlich wieder in PKCS12 (4.).