Thunderbird и новые сертификаты почтового сервера

[Alex-der]

Как я уже раньше писАл, в конторе предстоит переход на астру. и я потихоньку шшупаю это поделие....
Достали меня участившиеся периодические самопогружения системы в своп, а тут подкатили с головной конторы ссылку на новую версию (1.7.4) и я решил переставить тестовую систему начисто.
Ссылка с сервера астры.
Отвалилась почта. При попытке настроить клиента заново, вылазит окошко, что не удалось проверить сертификат сервера. Только вот беда - исключение безопасности не сохраняется никак. Я начитался советов про about:config, но в громптице ничего подобного не нашёл.
Сертификат с сервера я вручную скачал, хотя птица при попытке "получить" уходит в задумчивость без видимых признаков реальной деятельности (работает только кнопка "Cancel"). В итоге ни отправить, ни получить почту не работает.
Сертификат подписан GlobalSign GCC R3 DV TLS CA 2020.
В чём может быть проблема?
$ uname -a
Linux astra 5.15.0-70-generic #astra2+ci6 SMP Thu Jun 22 08:49:22 MSK 2023 x86_64 GNU/Linux
$
cat /etc/astra/*
1.7.4.7
1.7.4.ext1.4
1.7.4.ext1

Громптица 102.9.1
В консоли ошибок у неё есть такое:
1689950992074 addons.xpi WARN Checking /usr/lib/thunderbird/distribution/extensions for addons
Found 0 public keys and 0 secret keys (0 protected, 0 unprotected) RNPLib.jsm:541:15
Successfully loaded optional OpenPGP library libgpgme.so.11 from system's standard library locations GPGMELib.jsm:69:13
gpgme version: 1.12.0 GPGMELib.jsm:241:15
services.settings: Failed to load last_modified.json: TypeError: NetworkError when attempting to fetch resource. Utils.jsm:330
Trying to load /usr/lib/thunderbird/libotr.so OTRLib.jsm:64:11
Trying to load libotr.so from system's standard library locations OTRLib.jsm:64:11
Trying to load libotr.so.5 from system's standard library locations OTRLib.jsm:64:11
Trying to load libotr.so from system's standard library locations OTRLib.jsm:64:11
Error: Cannot load required OTR library
loadExternalOTRLib resource:///modules/OTRLib.jsm:109
init resource:///modules/OTRLib.jsm:115
once resource:///modules/OTR.jsm:118
init resource:///modules/OTR.jsm:139
init resource:///modules/OTRUI.jsm:256
OTR.jsm:127:15
WebExtensions: windowEvent API started windowEvent.js:5
WebExtensions: Element 'titlebar-close' not found. Command not replaced. windowEvent.js:164
WebExtensions: Close listener added

 

[oko]

Вам Thunderbird на приведенном скрине как бэ намекает, что не доверяет указанному сертификату, потому что для него не найдена валидная цепочка подписи. Т.е., если сертификат подписан тем самым GlobalSign GCC R3 DV TLS CA 2020, то Thunderbird об этом корневом сертификате не в курсе. Поэтому импортируй или нет любой подписанный им сертификат - Thunderbird будет его отбивать, пока не увидит корневой в своем доверенном хранилище...
Ради интереса нашел упоминание об этом сертификате в Сети, а также проверил хранилище (/usr/share/ca-certificates) на ALSE 1.7.3 - есть там GlobalSign_Root_CA_-_R3.crt и даже дата истечения совпадает. Но не факт, что это нужный сертификат - с GlobalSign в последние год-два всякое творится...
Впрочем, Thunderbird ведет свою базу сертификатов (Настройки - Приватность - Управление сертификатами). И в нем есть аналогичный системному R3-сертификат, но опять-таки не факт, что это нужный. Итого, если к этому корневому сертификату все-таки есть доверие - можно его найти в Сети, импортировать в Thunderbird и проверить...

 

[Alex-der]

Ну, так обычно в винде и в предыдущей инсталяции (1.7.2), если нажать на кнопку "Подтвердить исключение безопасности" - сертификат подшивается в локальную базу птицы, а тут - не отрабатывает. Я сегодня после возвращения с объекта поковыряюсь ещё...

 

[oko]

to Alex-der
Противоречия нет...
Сертификат-то подшивается. Но он не самоподписанный в вашем случае, т.е. "доверять" Thunderbird должен не исключительно этому сертификату, а всей цепочке подписей. И, если в цепочке проблема, то Thunderbird закономерно отклоняет этот сертификат, поскольку не может подтвердить доверие к "вышестоящему". И это вполне штатное поведение...