Skip to Content

Changes for page STARFACE

Last modified by Sebastian Marsching on 2026/04/10 12:57
From version 10.1
edited by Sebastian Marsching
on 2026/04/10 12:53
Change comment: There is no comment for this version
To version 8.1
edited by Sebastian Marsching
on 2022/07/17 16:33
Change comment: There is no comment for this version

Summary

Details

Page properties
Content
... ... @@ -84,43 +84,5 @@
84 84   -in root-ca.pem \
85 85   -out root-ca.cer \
86 86   -outform DER
87 -```
87 +````
88 88  
89 -# TLS-Zertifikate mit ECDSA-Schlüsseln
90 -
91 -Zur Zeit (STARFACE 8.1.1.1) unterstützt STARFACE keine Zertifikate mit ECDSA-Schlüsseln, d.h. es muss zwingend ein Zertifikat mit einem RSA-Schlüssel installiert werden.
92 -
93 -Der Grund liegt nicht in der Software selbst sondern in der Tomcat-Konfiguration der STARFACE: In der `ciphers`-Liste des TLS-Connectors werden nur RSA-basierte Cipher-Suites aufgelistet. Dies führt dazu, dass bei Verwendung eines ECDSA-basierten Zertifikats keine Verbindung hergestellt werden kann. In Firefox erhält man z.B. die Fehlermeldung `SSL_ERROR_NO_CYPHER_OVERLAP`.
94 -
95 -Ein temporärer Workaround liegt darin, sich per SSH auf der STARFACE einzuloggen und die Datei /opt/tomcat/conf/server.xml so zu bearbeiten, dass das `cipher`-Attribut des Connectors für Port 8081 zusätzlich die folgenden Cipher-Suites enthält:
96 -
97 -* TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
98 -* TLS_ECDH_ECDSA_WITH_AES_256_GCM_SHA384
99 -* TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
100 -* TLS_ECDH_ECDSA_WITH_AES_128_GCM_SHA256
101 -* TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
102 -* TLS_ECDH_ECDSA_WITH_AES_256_CBC_SHA384
103 -* TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
104 -* TLS_ECDH_ECDSA_WITH_AES_128_CBC_SHA256
105 -
106 -Je nach verwendetem Browser reicht wahrscheinlich auch nur die erste oder zweite Cipher-Suite.
107 -
108 -Anschließend muss Tomcat mit `systemctl restart tomcat.service` neugestartet werden. Nach erfolgreichem Neustart kann man sich wieder in der Administrationsoberfläche anmelden und das Zertifikat durch eines ersetzen, das einen RSA-Schlüssel verwendet.
109 -
110 -Den oben genannten Workaround dauerhaft zu verwenden empfiehlt sich eher nicht, da die hinzugefügten Cipher-Suites wieder entfernt werden, wenn STARFACE die Konfigurationsdatei neu schreibt. Dafür werden anscheinend die Templates in `/opt/tomcat/webapps/localhost/starface/WEB-INF/classes/de/vertico/starface/helpers/tomcat/https-connector-template.xml` und `/opt/tomcat/webapps/localhost/starface/WEB-INF/classes/de/vertico/starface/helpers/tomcat/provisioning-https-connector-template.xml` verwendet, d.h. man könnte prinzipiell diese Templates anpassen. Allerdings ist es sehr wahrscheinlich, dass diese Templates überschrieben werden, wenn die STARFACE-Version aktualisiert wird, d.h. eine solche Lösung würde regelmäßig manuelle Nacharbeiten erfordern. Einfach ein Zertifikat mit RSA-Schlüssel zu verwenden ist in dieser Hinsicht die einfachere Lösung. Dies funktioniert übrigens auch, wenn die übergeordnete CA selbst einen ECDSA-Schlüssel verwendet.
111 -
112 -# SIP-Verbindung mit STARFACE UCC-Client für Mac schlägt fehl
113 -
114 -Wenn die SIP-Verbindung des STARFACE UCC-Clients für Mac zur Telefonanlage fehlschlägt (es können keine Telefonnummer gewählt werden und in den Softphone-Einstellungen steht hinter „Softphone aktivieren“ die Meldung „Verbindung fehlgeschlagen“), kann es sich lohnen in die Log-Datei `~/Library/Logs/STARFACE/de.starface.starface-client.SIP-MSG.log` zu schauen.
115 -
116 -Wenn dort eine Meldung in der folgenden Art steht, kann das auf ein DNS-Problem hinweisen:
117 -
118 -> [Info] [SIP] [pjsua_0] [SIP:0]  > 12:20:52.432 _sips._tc
119 ->
120 -> p.starface.in  DNS A record resolution failed: DNS "Name Error" (PJLIB_UTIL_EDNS
121 ->
122 -> _NXDOMAIN) [Info] [SIP] [pjsua_0] [SIP:0]  > 12:20:52.433  sip_resolve.c  DNS A/AAAA record resolution failed: DNS "Name Error" (PJLIB_UTIL_EDNS_NXDOMAIN) [Warning] [SIP] [pjsua_0] [SIP:0]  > 12:20:52.433  tsx0x7fabf7942aa8  Failed to send Request msg REGISTER/cseq=6043 (tdta0x7fabf79700a8)! err=320053 (DNS "Name Error" (PJLIB_UTIL_EDNS_NXDOMAIN)) [Error] [SIP] [pjsua_0] [SIP:0]  > 12:20:52.433  pjsua_acc.c  ..SIP registration failed, status=502 (DNS "Name Error" (PJLIB_UTIL_EDNS_NXDOMAIN))
123 -
124 -Das kann im Fall einer fehlerhaften DNS-Konfiguration auftreten, insofern der DNS-Name der STARFACE-Anlage nicht im öffentlichen DNS eingetragen ist, kann es aber auch daran liegen, dass für die Namensauflösung der falsche DNS-Server verwendet wird. Das passiert insbesondere dann, wenn die Verbindung zur STAFACE-Anlage über ein VPN hergestellt wird.
125 -
126 -In diesem Fall ist es hilfreich, in den Einstellung des Clients unter „Expertenmodus“ die Option `sipResolver` vom Standard-Wert `System Nameserver `auf `System Resolver` zu ändern und den Client neuzustarten. Durch die Verwendung des System-Resolvers werden domänenspezifische DNS-Server-Einstellung des VPN-Clients berücksichtigt, statt für alle Namen unabhängig von der Domäne den primären DNS-Server, der systemweit konfiguriert ist, zu verwenden.