Unable to verify the first certificate

[M-A Hueb]

Hallo,

seit heute morgen wird mein Log mit Meldungen zugemüllt:
unable to verify the first certificate
Adapter lassen sich auch nicht mehr updaten.
Wie lässt sich das abstellen?

[Homoran]

@m-a-hueb sagte in Unable to verify the first certificate:

mein Log mit Meldungen zugemüllt:

bitte Meldungen vollständig als Text in code-tags posten.

[M-A Hueb]

@homoran
habe mittlerweile iobroker testehalber neu installiert.
Beim Versuch die Adapter nachzuziehen kommen diese Meldungen

admin.0
	2024-04-18 13:00:33.803	warn	Cannot update news: unable to verify the first certificate
admin.0
	2024-04-18 13:00:32.747	warn	Cannot update rating: unable to verify the first certificate
admin.0
	2024-04-18 13:00:32.643	warn	Cannot check node.js versions: Error: unable to verify the first certificate
admin.0
	2024-04-18 13:00:32.580	warn	Active repository "stable" cannot be read
admin.0
	2024-04-18 13:00:32.580	warn	Repository cannot be read: Active repo - stable
admin.0
	2024-04-18 13:00:32.568	info	Use link "http://127.0.0.1:8081" to configure.
admin.0
	2024-04-18 13:00:32.567	info	http server listening on port 8081
admin.0
	2024-04-18 13:00:32.566	info	socket.io server listening on port 8081
admin.0
	2024-04-18 13:00:32.535	info	received all objects
admin.0
	2024-04-18 13:00:32.489	info	requesting all objects
admin.0
	2024-04-18 13:00:32.475	info	starting. Version 6.13.16 in C:/ioBroker/node_modules/iobroker.admin, node: v18.20.2, js-controller: 5.0.19
host.Server
	2024-04-18 13:00:31.455	info	instance system.adapter.admin.0 started with pid 14264
host.Server
	2024-04-18 13:00:31.410	info	starting 3 instances
host.Server
	2024-04-18 13:00:31.408	info	3 instances found
host.Server
	2024-04-18 13:00:31.223	info	added notifications configuration of host
host.Server
	2024-04-18 13:00:31.215	info	Node.js version has changed from unknown to 18.20.2
host.Server
	2024-04-18 13:00:31.209	info	connected to Objects and States
host.Server
	2024-04-18 13:00:31.087	info	ip addresses: 192.168.1.1 fe80::2c0e:4633:31a7:9837 192.168.176.1 fe80::4973:a07e:3bf7:ada3 192.168.44.1
host.Server
	2024-04-18 13:00:31.087	info	hostname: Server, node: v18.20.2
host.Server
	2024-04-18 13:00:31.087	info	Copyright (c) 2014-2023 bluefox, 2014 hobbyquaker
host.Server
	2024-04-18 13:00:31.085	info	iobroker.js-controller version 5.0.19 js-controller starting 

[M-A Hueb]

Angefangen hat das ganze am 17.04 19:37Uhr

17 Apr 2024 19:39:24.911
bring.0: Error polling all lists: Cannot get lists: Error: unable to verify the first certificate
17 Apr 2024 19:39:14.292
midea.0: Error: unable to verify the first certificate
17 Apr 2024 19:39:14.244
midea.0: Error: unable to verify the first certificate
17 Apr 2024 19:39:14.243
midea.0: Error: unable to verify the first certificate
17 Apr 2024 19:39:01.078
solaredge.0: Cannot read data from solaredge cloud: Error: unable to verify the first certificate
17 Apr 2024 19:38:59.963
sureflap.0: Error: Request error: 'Error: unable to verify the first certificate'. Retrying in 60 seconds
17 Apr 2024 19:38:18.678
nuki-extended.0: getWebApi(): Error retrieving smartlocks: Error: unable to verify the first certificate
17 Apr 2024 19:38:18.678
nuki-extended.0: getWebApi(): Error retrieving notifications: Error: unable to verify the first certificate
17 Apr 2024 19:38:15.008
midea.0: Error: unable to verify the first certificate
17 Apr 2024 19:38:14.964
midea.0: Error: unable to verify the first certificate
17 Apr 2024 19:38:14.964
midea.0: Error: unable to verify the first certificate
17 Apr 2024 19:38:01.119
solaredge.0: Cannot read data from solaredge cloud: Error: unable to verify the first certificate
17 Apr 2024 19:37:59.610
sureflap.0: Error: Request error: 'Error: unable to verify the first certificate'. Retrying in 60 seconds 

[mcm1957]

@homoran said in Unable to verify the first certificate:

@m-a-hueb sagte in Unable to verify the first certificate:

mein Log mit Meldungen zugemüllt:

bitte Meldungen vollständig als Text in code-tags posten.

Und bitte bei allen Problemen die betreffenden VERSIONEN angeben

admin
js-controller
node

und / oder gleich ein iob diag in der Langfassung vollständig in Codetags posten.

[M-A Hueb]

@mcm57 meine Versionen sind in meiner Signatur. Admin 6.13.16.
iob diag gibt unter windows das hier zurück:

C:\ioBroker>iob diag
iobroker [command]

Commands:
  iobroker setup                                               Setup ioBroker
  iobroker start [all|<adapter>.<instance>|<adapter>]          Starts the js-controller or a specified adapter instance or all instances of an adapter
  iobroker stop [<adapter>.<instance>|<adapter>]               stops the js-controller or a specified adapter instance or all instances of an adapter
  iobroker restart [<adapter>.<instance>|<adapter>]            Restarts js-controller or a specified adapter instance or all instances of an adapter  [aliases: r]
  iobroker debug <adapter>[.<instance>]                        Starts a Node.js debugging session for the adapter instance
  iobroker info                                                Shows the host info
  iobroker logs [<adapter>]                                    Monitor log
  iobroker add <adapter> [desiredNumber]                       Add instance of adapter  [aliases: a]
  iobroker install <adapter>                                   Installs a specified adapter  [aliases: i]
  iobroker rebuild [<module>]                                  Rebuild all native modules or path
  iobroker url <url> [<name>]                                  Install adapter from specified url, e.g. GitHub
  iobroker del <adapter>                                       Remove adapter and all instances from this host  [aliases: delete]
  iobroker del <adapter>.<instance>                            Remove adapter instance  [aliases: delete]
  iobroker update [<repositoryUrl>]                            Update repository and list adapters
  iobroker upgrade                                             Upgrade management
  iobroker upload [all|<adapter>]                              Upload management  [aliases: u]
  iobroker object                                              Object management  [aliases: o]
  iobroker state                                               State management  [aliases: s]
  iobroker message <adapter>[.instance] <command> [<message>]  Send message to adapter instance/s
  iobroker list <type> [<filter>]                              List all entries, like objects
  iobroker chmod <mode> <file>                                 Change file rights
  iobroker chown <user> <group> <file>                         Change file ownership
  iobroker touch <file>                                        Touch file
  iobroker rm <file>                                           Remove file
  iobroker file                                                File management
  iobroker user                                                User commands
  iobroker group                                               group management
  iobroker host <hostname>                                     Set host to given hostname
  iobroker set <adapter>.<instance>                            Change settings of adapter config
  iobroker license <license.file or license.text>              Update license by given file
  iobroker cert                                                Certificate management
  iobroker clean <yes>                                         Clears all objects and states
  iobroker backup                                              Create backup
  iobroker restore <backup name or path>                       Restore a specified backup
  iobroker validate <backup name or path>                      Validate a specified backup
  iobroker status [all|<adapter>.<instance>]                   Status of ioBroker or adapter instance  [aliases: isrun]
  iobroker repo [<name>]                                       Show repo information
  iobroker uuid                                                Show uuid of the installation  [aliases: id]
  iobroker unsetup                                             Reset license, installation secret and language
  iobroker fix                                                 Execute the installation fixer script, this updates your ioBroker installation
  iobroker nodejs-update [<major-version>]                     Upgrade the Node.JS installation to the current LTS
  iobroker multihost                                           Multihost management
  iobroker compact                                             compact group management
  iobroker plugin                                              Plugin management
  iobroker vendor <passphrase> [<vendor.json>]                 Update the vendor information using given passphrase
  iobroker version [<adapter>]                                 Show version of js-controller or specified adapter  [aliases: v]

Options:
  --help  Show help  [boolean]

[M-A Hueb]

Hat sich erledigt.
Es lag am Virenscanner. der hat die Zertifikatskette zerschossen

[mcm1957]

@m-a-hueb
Danke fürs Feedback.

Und ja, leider geht iob diag auf Windows nicht. Sorry hab das OS nicht beachtet.

[Neral12]

@mcm1957 hab das gleiche Problem.
Ursache ist die Firewall die Zertifikate austauscht. Üblicherweise muss im Zertifikatstore der Anwendung das CA-Zertifikat der Firewall hinterlegt werden (damit trusted) .
Frage ist nun wie mache ich das für iobroker?
In npm habe ich das bereits gemacht (läuft auch)

npm config set cafile /usr/local/share/ca-certificates/SecurityAppliance_SSL_CA.crt

leider scheint das für iobroker nicht auszureichen
Ursache ist wohl die lib "ssl-root-cas"

[MartinP]

@neral12 said in Unable to verify the first certificate:

Ursache ist die Firewall die Zertifikate austauscht.

Das wäre für mich ein Grund, dieser Firewall gründlich zu Misstrauen...

[mcm1957]

@neral12
Keine Ahnung warum du mich gezielt ansprichst aber ich kann dir nichts zum Thema Zertifikate sagen. Beachte jedenfalls dass du ioBroker NIEMALS direkt aus dem Internet, auch nicht über eine Firewall, erreichbar machen solltest.

[Neral12]

@martinp na da sieht man das du dich damit nicht wirklich auskennst...
Eine Firewall die TLS nicht aufbricht/terminiert und neu verschlüsselt kann Daten logischerweise auch nicht scannen. Eine Firewalls die das nicht machen sind Steinzeit

[mcm1957]

@neral12 said in Unable to verify the first certificate:

@martinp na da sieht man das du dich damit nicht wirklich auskennst...
Eine Firewall die TLS nicht aufbricht/terminiert und neu verschlüsselt kann Daten logischerweise auch nicht scannen. Eine Firewalls die das nicht machen sind Steinzeit

Ist zwar OT
Damit ist aber eine Transportverschlüsselung hinfällig ...
Mag für manche Firmennetze zu (eher unerlaubtem wenn nicht dokumentiertem) Mitlauschen im Einsatz sein aber der Sinn von End to End verschlüsselten Verbindungen ist wohl dass sie nicht dazwischen entschlüsselt werden

[Neral12]

@mcm1957 Transportverschlüsselung ist damit natürlich nicht hinfällig. Du schließt doch auch nicht jeden Schrank in deiner Wohnung ab sondern die Wohnungstür...
und genau deshalb musst du den Endgeräten ja auch explizit sagen dass sie DEINEM Zertifikat vertrauen können.

soll keine Werbung sein, nur etwas fundierte Ausführungen zu dem Thema: https://www.checkpoint.com/de/cyber-hub/network-security/what-is-ssl-inspection/

[mcm1957]

@neral12
OK, falsch fomuliert - nicht Transportverschlüsselung aber End-to-End Verschlüsselung ist hinfällig.

Wenn ich mit meiner Bank kommuniziere will ich NICHT dass IRGENDWER der zwischen meinem PC und den Servern der Bank steht mitlesen kann. Detto will ich nicht das mein vpn nur mehr ein vn ist.

Natürlich macht es durchaus Sinn dass z.B. Firmen aus Schutzgründen JEDEN Verkehr mitlesen. Solange das klar kommuniziert wird und ich mich daher frei entscheiden kann ob ich Daten mit dem Firmenadmin teilen will ist das akzeptabel.

Aber hier wie schon geschrieben OT.