Anleitung zur Behebung von PKIX Fehlern
Vermutlich haben Sie bereits erfolgreich die Signatursoftware für die Signaturkarte installiert und stolpern nun über einen PKIX Fehler.
Wir beschreiben Ihnen hier das Vorgehen, um diesen Fehler zu umgehen.
Bei Verwendung von Sicherheitslösungen wie z.B. ZScaler wird die SSL-Verbindung aufgebrochen und durch ein internes Zertifikat ersetzt. Java-Anwendungen vertrauen diesem Zertifikat standardmäßig nicht, wodurch solch ein PKIX Fehler zu stande kommt.
Ziel
Die Anwendung muss der Zscaler Root CA vertrauen. Dafür wird diese einmalig in den Windows Zertifikatsspeicher importiert.
Schritt für Schritt Anleitung
- Öffnen Sie Ihren Internetbrowser. Wir haben diese Anleitung auf Basis von Mozilla Firefox erstellt. Anordungen und Begrifflichkeiten können Sie von anderen Internetbrowsern unterscheiden!
- Navigieren Sie zur Internetseite https://www.eanvportal.de
- Klicken Sie mit der Maus auf das Schloss Symbol
- Klicken Sie auf Verbindung sicher
- Klicken Sie auf Weitere Informationen
- Klicken Sie auf Zertifikat anzeigen
- Klicken Sie auf das Zscaler Root CA Zertifikat.
- Scrollen Sie nach unten bis zu Verschiedenes.
- Speichern Sie das PEM (Zertifikat) auf Ihrer lokalen Festplatte.
- Ignorieren Sie das
PEM (Zertifikatskette)Zertifikat.
- Benennen Sie diese Datei von *.pem nach *.cer um.
- Öffnen Sie diese umbenannte Datei unter Windows mit einem Doppelklick.
- Klicken Sie dann auf Öffnen.
- Klicken Sie auf Zertifikat installieren...
- Ändern Sie den Speicherort auf Lokaler Computer.
- Klicken Sie auf Weiter.
- Ändern Sie die Einstellung auf Alle Zertifikate in folgendem Speicher speichern.
- Wählen Sie als Ziel: Vertrauenswürdige Stammzertifizierungsstellen aus, indem Sie mit Durchsuchen... danach suchen.
- Klicken Sie auf Weiter.
- Sie befinden sich auf der Zielgeraden. Mit dem klicken auf Fertig stellen wird das Zertifikat importiert.
- Klicken Sie auf OK.
Troubleshooting / Fehlersuche
Sollte der Import des Zscaler Root CA Zertifikat allein doch keinen Erfolg bringen, wiederholen Sie das ganze bitte noch mit den Intermediate Zertifikaten.
Im Anschluss die Signatursoftware, besser den ganzen PC einmal neu starten.
Eventuell auch mal von der IT Abteilung die SSL Inspection Einstellungen prüfen lassen.
Enterprise Lösung (für IT Mitarbeiter)
- Zentrale Verteilung über Gruppenrichtlinie (GPO): Trusted Root Certification Authorities → Zscaler Root CA verteilen
- Optional: Domain eanvportal.de im ZScaler auf Bypass setzen
Ergebnis
Die Anwendung baut eine sichere Verbindung auf und funktioniert ohne Zertifikatsfehlermeldung.