Danke für dieses tolle Forum und gleich meine erste Anfrage.
Ich schaffe es nicht, E-Mails über den KIM-Client mit einer KocoBox zu versenden. Die Fehlermeldung ist "local error in processing". Nähere Infos fand ich in der LOG Datei: Nach dem SMTP MAIL FROM steht dort:
INFO com.tsystems.gematik.komle.clientmodule.conn.client.EmailPKICacheManager - ENC certificate for given email address 'dr.pillepalle@telekom.kim.telematik' not found in cache, asking VZD...
ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - com.tsystems.gematik.komle.clientmodule.smtp.server.handler.RecipientToException: ENC certificate for given email address: 'dr.pillepalle@telekom.kim.telematik' not found in VZD!
Das soll wohl bedeuten, dass der öffentliche Schlüssel des Empfängers nicht im Cache ist und beim Verzeichnisdienst angefragt werden soll. Dieser meldet aber, dass er kein ENC certificate findet. (Weder bei dr.pillepalle noch bei denen, deren Adressen es wirklich gibt ;-) ).
Test erfolgte mit Thunderbird. POP geht und meldet "keine neuen Nachrichten". Auch das Adressbuch von Thunderbird über LDAP und LDAPS geht.
Anmeldung vom KIM-Client erfolgte per TLS mal "ohne Authentifizierung" und mal "mit Zertifikat". Beides brachte keinen Erfolgt.
Gleiche Installation mit dem KIM-Client (Telekom) und einem Secunet Konnektor ging sofort.
Zitat von WolfgangD im Beitrag #1not found in cache, asking VZD.
kommt mir bekannt vor,
Zitat von WolfgangD im Beitrag #1: ENC certificate for given email address: \'dr.pillepalle@telekom.kim.telematik\' not found in VZD!
weniger aber ich bin hier derjenige, der erfolgreich mit secunet konnektor und kim-dienst der telekom unter thunderbird kim-nachrichten an sich selbst und andere nerds OHNE TLS schickte. vzd über ldap lief über thunderbird hervorragend und nun auch über das pvs (nur ldaps).
seit dem ich die tls-pflicht im konnektor aktiviert habe (soll gesetz sein) geht mit thunderbird überhaupt nichts mehr, mit der pvs wenigstens noch vzd über ldapS. der fehler begann vorallem mit dem upgrade von kimclient 18... auf 19... und was noch interessanter ist, herr kollege schauen sie sich mal die kim-clienten-seite an.
Zitat von WolfgangD im Beitrag #1POP geht und meldet "keine neuen Nachrichten".
erstens ist die relevante version von pop nicht 1 sondern 3, deswegen immer pop3 (oder wollen sie daten über usb1 statt usb4 übertragen (12 mbits vs bald 80000 mbits) und zweitens meldete das e-mail-programm ÜBER pop3 beim abrufen bei mir auch anfangs nichts und ich bemerkte fehler erst, als ich an mich andressierte kim-mails nicht abrufen und entschlüsseln konnte (kim-client meldet üblichen fehler: aufrufkontext falsch). ldaps geht wie ldap nicht über den kim-clienten, sondern über die ldap(s) adresse des konnektors.
leute wie ich würden gerne den kompletten relevanten inhalt der clientmodule.log, clientmoduleerror.log und performance.log sehen.
downgrade nach deinstall auf 18.. brachte nichts. der beherrscht tls nicht gut.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Zitat von rfkoem im Beitrag #2Leute wie ich würden gerne den kompletten relevanten inhalt der clientmodule.log, clientmoduleerror.log und performance.log sehen.
Der beschriebene Fehler hat IMHO an vielen Stellen Ähnlichkeit mit meinem aktuellen KIM problem - siehe unter #10 | RE: CGM KIM -Radar : evt. nächste CGM KIM Störung? - bei mir ist es Kocobox + CGM KIM , hier jetzt Kocobox + Telekom KIM, aber ggf. gibt es hier doch auch interessante Parallelen?
Anbei daher nochmal auch von mir logs vom CGM KIM Client , von Thunderbird sowie die Konnektorlogs...
Und Frage: Welche Firmewareversion Kocobox ist es hier? Auch 4.2.12?
Junioruser1976
hat folgende Dateien an diesen Beitrag angehängt
Dieser Beitrag hilft nun wirklich nicht sonderlich weiter... 🙄
---
Zitat von WolfgangD im Beitrag #1Gleiche Installation mit dem KIM-Client (Telekom) und einem Secunet Konnektor ging sofort.
Ich hoffe sehr die anderen Forenmitglieder können bei der Lösung helfen. Wenn aber die Installation mit einem Secunet Konnektor klappt und mit einer KoCoBox nicht, dann würde ich das Problem eher auf der KoCoBox-Seite vermuten.
Schlussendlich ist das aber ein InterOp-Problem zwischen zugelassenen Produkten - und damit würde ich an dieser Stelle dringlich vorschlagen auch die gematik zu involvieren. Die dürfen bei solchen Problemen gerne auch aktiv werden, schließlich ist die Interoperabilität zwischen den zugelassenen Produkten ihr Verantwortungsbereich. Das wird nicht zu einer schnellen Lösung beitragen - aber hoffentlich helfen die Zulassungsprozesse bei der gematik zu härten, damit so etwas in Zukunft zumindest deutlich seltener vorkommt.
Zitat von Junioruser1976 im Beitrag #4Der beschriebene Fehler ....
Liebe Kollegen, ich kann nur empfehlen, keine Zeit mit Fehlern dieser Telematik zu verschwenden. Heute gibt es diese Fehler, morgen jene.
Es sollte doch mittlerweile jedem klar sein, daß das ganze System völlig unausgereift ist. Und selbst wenn es einmal stabil laufen sollte, ist es in der täglichen Praxis kaum einsetzbar und wird auch von Patienten nicht genutzt werden, weil viel zu aufwändig und zu umständlich. Ich habe heute mal probieren wollen, die ePA mittels der Chipkarte einer Helferin auszulesen. Das Ergebnis war: sie muß erstmal eine ePA bei Ihrer kranken Kasse beantragen. Das geht mittels einer App. Um diesen Antrag stellen zu können, muß sie erst einen QR-Code per Post (sie an !) zugeschickt bekommen. Und um die Zusendung des QR-Codes zu veranlassen, ist wieder die App nötig ... Welcher normale Mensch (und welcher Mensch > 80 J.) macht sich denn diesen Aufwand ? Keiner. Und das ist auch gut so, denn damit bleibt dieses Telematik-Projekt das, was es schon immer war: eine Totgeburt
Übrigens: Das hat offenbar auch der VEB Gematik erkannt: Auf dessen Internetseite gibt es ausführliche Beschreibungen von TI 2.0: Auf einmal geht es ohne Konnektor, ohne HBA, ohne SMC's, ... schade um die Milliarden, die dafür verschwendet wurden. Herr Hoeneß kam für € 30 Mio. in den Knast. Die Verantwortlichen der Gematik laufen immer noch frei herum ...
die helferin bekommt eine PIN für die egk nach dem einrichten der app. man sollte sofort bei der krankenkasse nachfragen, o der brief bleibt. ich kenne jemanden, da wurde der brief zurückgeschickt (angeblich falscher empfänger). sowas ist ihm nie passiert. die pin braucht man für den kartenleser z. B. ingenico 6141 orga online
Zitat von rfkoem im Beitrag #2startet der kim-client erfolgreich?
Zitat von WolfgangD im Beitrag #1not found in cache, asking VZD.
kommt mir bekannt vor,
Zitat von WolfgangD im Beitrag #1: ENC certificate for given email address: \'dr.pillepalle@telekom.kim.telematik\' not found in VZD!
weniger aber ich bin hier derjenige, der erfolgreich mit secunet konnektor und kim-dienst der telekom unter thunderbird kim-nachrichten an sich selbst und andere nerds OHNE TLS schickte. vzd über ldap lief über thunderbird hervorragend und nun auch über das pvs (nur ldaps).
seit dem ich die tls-pflicht im konnektor aktiviert habe (soll gesetz sein) geht mit thunderbird überhaupt nichts mehr, mit der pvs wenigstens noch vzd über ldapS. der fehler begann vorallem mit dem upgrade von kimclient 18... auf 19... und was noch interessanter ist, herr kollege schauen sie sich mal die kim-clienten-seite an.
Zitat von WolfgangD im Beitrag #1POP geht und meldet "keine neuen Nachrichten".
erstens ist die relevante version von pop nicht 1 sondern 3, deswegen immer pop3 (oder wollen sie daten über usb1 statt usb4 übertragen (12 mbits vs bald 80000 mbits) und zweitens meldete das e-mail-programm ÜBER pop3 beim abrufen bei mir auch anfangs nichts und ich bemerkte fehler erst, als ich an mich andressierte kim-mails nicht abrufen und entschlüsseln konnte (kim-client meldet üblichen fehler: aufrufkontext falsch). ldaps geht wie ldap nicht über den kim-clienten, sondern über die ldap(s) adresse des konnektors.
leute wie ich würden gerne den kompletten relevanten inhalt der clientmodule.log, clientmoduleerror.log und performance.log sehen.
downgrade nach deinstall auf 18.. brachte nichts. der beherrscht tls nicht gut.
https://webportal.eqxffm.tsi.kim.telematik ging nicht weil bei der deinstallation des kim-clienten der telekom auch die komplette routing adresse gelöscht wird also PU (Produktionsumgebung) route /p add 100.102.0.0 MASK 255.255.0.0 <IP-Adresse des Konnektors> die hosts datei wird auch völlig geleert, zumindest jene ip-adressen wie 100.102.1.169 lb-mail.eqxffm.tsi.kim.telematik 100.102.1.136 webportal.eqxffm.tsi.kim.telematik auch wenn sie mehrfach vorkommen. das anmelden auf der seite Internet : https://webportal.eqxffm.gem-vpn-zugd-tsi.de oder TI : https://webportal.eqxffm.tsi.kim.telematik ging nicht, weil die KIM-Adresse GESPERRT war!
ursache war ein tippfehler im passwort. thunderbird fragt mehrmals über pop3 das postfach (eingang) ab und nach 3 falschen versuchen wird die kim-adresse gesperrt. die adresse lässt sich im admin-clienten der telekom entsperren unter kim passwort mgmt, kim-adresse auswählen (da müsste ein X unter gesperrt sein), darunter Entsperren.
im browser unter konnektor-ip:port (secunet-konnektor), netzwerk, allgemein, Clientsystem-Einstellungen, Maximale Anzahl Fehlversuche kann man die anzahl eben dieser fehlerversuche vielleicht ändern.
senden über smtp geht nicht, es wird im thunderbird nach einem zertifikat gefragt (schleife).
verbindungssicherheit in den konten im thunderbird auf SSL/TLS und authentifizierungsmethode auf Passwort, normal
zertifikate für den kim-clienten: im browser unter konnektor-ip:port (secunet-konnektor), praxis, clientsysteme, zertifikat erstellen (das p12-zertifikat) für den installationsassistenten des kim-clienten 19... Konnektor PKI, Keystore Datei mit Passwort
iccsn der smc-b: im browser unter konnektor-ip:port (secunet-konnektor), praxis, aufrufkontexte, detaillierte ansicht oder im browser unter konnektor-ip:port (secunet-konnektor), vpn, vpnzugangsdienst, nach unten scrollen
2 konnektorzertifikate, von denen einer für das pvs wichtig sein könnte pem-format (firefox): im browser unter konnektor-ip:port (secunet-konnektor), links neben der adressleiste das schlossymbol öffnen, pfeil, weitere informationen, zertifikat anzeigen (neues fenster), pem-zertifikat exportieren (neuer tab unter verschiedenes) cer-format (chrome, edge): im browser unter konnektor-ip:port (secunet-konnektor), links neben der adressleiste "nicht sicher" anklicken, "die verbindung mit dieser website ist nicht sicher" anklicken, zertifikatsymbol anklicken, reiter details, in datei kopieren, weiter, weiter, irgendwo speichern.
ldaps in thunderbird geht nicht aber im pvs mit tls gut.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
zuerst wurde in absprache mit dem kim-support der telekom die clientmodule.xml geändert
<?xml version="1.0" encoding="UTF-8"?> <Configuration> <!-- ClientModule global settings --> <ClientModule> <!-- listening ports --> <JMXPort>8088</JMXPort> <MaxMailSize>35882577</MaxMailSize> <!-- incoming & outgoing worker thread pool size --> <MaxThreads>5</MaxThreads> <!-- ClientModule disabled features, ONLY for testing purposes, on production systems leave this BLANK --> <!-- CheckRecipientTo, SignAndEncryptMessage, DecryptAndVerify --> <DisabledFeatures/> <!-- Time to Live for enc certificates, default 24 hours --> <EncCertCacheAlivePeriod unit="hours">24</EncCertCacheAlivePeriod> <!-- Time to Live for certificate-id/eMail/ICCSN, default 30 days --> <CertIdEMailIccsnCacheAlivePeriod unit="days">30</CertIdEMailIccsnCacheAlivePeriod> <!-- if UI is available, user could be notified via bubble messages --> <InteractiveMode>true</InteractiveMode> </ClientModule> <ClientSystem enabled="true"> <!-- listening ports --> <SmtpHostname>localhost</SmtpHostname> <SmtpPort>25</SmtpPort> <Pop3Hostname>localhost</Pop3Hostname> <Pop3Port>110</Pop3Port> <!-- Smtp Idle Timeout. Default is 5 min. --> <SmtpTimeout unit="min">5</SmtpTimeout> <!-- Pop3 Idle Timeout. Default is 5 min. --> <Pop3Timeout unit="min">5</Pop3Timeout> <Connection> <!-- Currently Selected Authentication Mode. One of NONE, SRV, C_X509 --> <AuthMode>NONE</AuthMode>
das mit dem port sagte ich ja, 8086 und 8087 sind belegt. auth mode ist nun none (war srv). die ports waren 995 und 465, nun 25 und 110 (ohne verschlüsselung). man muss sich das so vorstellen: der kim-client greift auf den konnektor über tls zu, so wurde das vereinbart im installationsassistenten. dazu braucht man das clientzertifikat vom konnektor als keystore datei und eine andere keystore im nächsten schritt von der downloadseite des kim-clienten der telekom. tls-abfrage wirkt in version 19... des kim-clienten fast erzwungen, es wird vor tls-absage gewarnt.
die verbindung client <-> konnektor ist gesichert. die verbindung email client wie thunderbird und kim-client nicht mehr, aber das ist egal, da kim client und thunderbird sich auf dem selben rechner befinden.
[(Thunderbird) - (KIM-Client)] --------- Konnektor [Server] ------über netzwerkswitch und hub zum konnektor
die einstellungen im thunderbird mussten dementsprechend auch geändert werden auf verschlüsselung: keine. die ports auf 25 und 110.
der aufrufkontext bleibt wie er ist, auch mit den ports 465 und 995.
erreichbar ist der kim-client unter der rufnummer 141946434235 (jede ziffer mit der 1 subtrahieren, nicht immer geht die nummer, kann auch sein dass sie gesperrt wird, es geht i. A. schneller als über die kim-support ticker seite oder kim-support@telekom.de die mitarbeiter haben auch eigene emailadressen und waren bisher immer sehr hilfreich. die können nicht über fernwartung der telekom auf die rechner zugreifen, können aber zusehen und anweisung geben über webex mittels terminen.)
jetzt geht nicht nur pop3 (das ging vorher mit reichlich sich wiederholender fehlermeldungen
ERROR com.tsystems.gematik.komle.clientmodule.pop3.server.Pop3ProxyServerChannelInitializer - SSL handshake unsuccessful. Cause: {} io.netty.handler.ssl.SslHandshakeTimeoutException: handshake timed out after 10000ms
und es geht nun smtp wieder wie in der zeit ohne tls-pflicht (während der tls-pflicht und einprogammiertem zertifikat kam immer
ERROR com.tsystems.gematik.komle.clientmodule.smtp.server.handler.SmtpServerHandler - javax.net.ssl.SSLException: error:14094418:SSL routines:ssl3_read_bytes:tlsv1 alert unknown ca
und smtp ging überhaupt nicht. vermutlich wegen der tls1.3 unterstützung, die der kim-client nicht bieten kann. baut man tls IN den thunderbird ein, ist das eine verschlüsselung über die sehr kurze distanz thunderbird - kim-client. das muss nicht sein. zumal thunderbird kein zertifikat aufrufen konnte. vielleicht kann man daran noch arbeiten.
ldaps geht immernoch überhaupt nicht. ldap auch nicht im thunderbird. ldaps geht im pvs inzwischen sehr gut seit dem 4.Quartal/2021 update des PVS. hingegen ist das pvs KIM nicht mächtig.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
folgende Rückfrage hab ich nochmal doch jetzt zu den Zuordnungen https/TLS und Authentisierung via Clientzertifikat( oder alternativ Basic Authentifizierung mit Benutzername/PW)
Ich bin jetzt hier aus dem zuletzt geschriebenen nicht mehr ganz sicher: Ist Clientzertifikatauthentisierung nun wirklich- wie ich es bislang verstanden hatte eigentlich- nochmal separat zu sehen als zusätzliches Sicherheitsfeature und unabhängig von TLSbasiert - oder darf man das doch nicht getrennt sehen?
Praktisch gesprochen: Geht es hier jetzt darum, dass der Telekom-KIM aktuell noch Herausforderungen geboten hat bereits bei Umstellung auf TLS allein- oder fingen die Probleme hier letztlich, wie bei CGM KIM auch erst an, als ZUSÄTZLICH Clientzertifikate im Konnektormodus "mit Authentisierung" ins Spiel kamen?
Ich hatte es bislang so verstanden : erstmal nur für TLSVerbindung wird (bei CGM) ein öffentlich zugängliches Gematik-Komponentenzertifikat benötig (gemkomp.der...) - hiermit kann per https auf Konnektor verschlüsselt zugegriffen weren für Client-Authentisierung benötig man dann ein vom Konnektor erzeugtes Client-Zertifkat als Keystore-Datei (bei mir Format .p12) . Nur der Client, der so ein gültiges Zertifikat hat, darf dann auch auf den Konnektor zugreifen....
Liege ich jetzt richtig, dass das 2 verschiedene Sachen sind oder nicht? ODer sind es jedenfalls bei CGM 2 verschiedene Sachen beim KIM Client und ggf. bei KIM Telekom nicht?
(Es scheinen ja zumindest nicht alle Systemkomponenten der TI zwischen "https/TLS ja/nein" und "mit /ohne Authentisierung" getrennt zu unterscheiden. Bei Charly Solutio z.B: gibt es im Ggs. z um Konnektor keine separate Auswahl für TLS / https OHNE Authentisierung - hier MUSS immer das Zertifikat gesetzt werden oder Basic Authent./Benutzername + PW ---- Man kann das aber wenn man ohne Authentisierung arbeiten will so stehen lassen- solange man auf dem Konnektor "mit Authentisierung" wegschaltet , ist der Eintrag im Charly ohne Belang- bei CGM KIM hingegen ist es immer httpsbasiert - auch im "ungesicherten" Setting- "ungesichert" bedeutet hier dann wiederum nur "ohne zusätzliche Authentisierung"...)
Meine bisherigen eigenen Erfahrungen praktisch mit diesen Sachen im Systemverbund Kocobox CGM, CGM KIM Client + Charly /Solutio sind:
VSDM allein ohne weitere TI Komponenten lief seinerzeit mit zusätzlicher Authentisierung via Zertifikat in der Kombi Kocobox CGM + Charly /Solutio mit Einstellung : https only, mit TLS und MIT Authentisierung
CGM KIM Client funktionierte (also eingeschränkt gesagt: solange er lief bis Ende September ) weiter bislang nur "ungesichert", was bei CGM aber !ACHTUNG! NICHT bedeutet, dass es komplett ohne TLS ist, sondenrn das ist dann alles trotzdem TLSbasiert, aber OHNE zusätzliche Authentisierung mit Clientzertifikat- mit lezteren läuft es halt (noch) nicht KIM funktioniert in diesem Setting mit THunderbird UND auch mit PVS Charly/KIM. gleiches wie für CGM KIM gilt für das NFSDM-stand-alone Modul ehe.exe von CGM für die Notfalldatenauslesung =) für die Kombi KIM + VSDM musste ich bislang die zusätzliche Authentisierung mit Clientzertfiikat (aber eben nur die!) separat noch auf dem Konnektor wegschalten- es bleibt aber dabei trotzdem weiter TLS/https-basierte Verbindung
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
sichere eMail (KIM)
»
Problem KIM-Client (Telekom) mit KocoBox
12.10.2021 02:40 (zuletzt bearbeitet: 12.10.2021 02:42)
Thema drucken
Antworten
logs kim client u tb.7z
