CertPathValidatorException с сервером Windows и клиентом Android

Я установил новый сертификат PositiveSSL от Comodo на компьютер с Windows Server 2008 R2. Я успешно подключился от следующих клиентов

• Chrome для Windows
• Chrome для Android
• Firefox для Windows
• Internet Explorer
• Вивальди для Windows
• Opera для Windows (как HTTPS, так и IMAP)
• Подключение к удаленному рабочему столу для Windows

на следующие серверы

• Apache с mod_ssl
• Службы удаленных рабочих столов
• MDaemon

Однако, когда я использую K-9 Mail для Android для подключения к MDaemon, я получаю сообщение об ошибке

java.security.cert.CertPathValidatorException: Trust Anchor for certificate path not found

Я предполагаю, что Chrome и K-9 ведут себя по-разному на одном и том же телефоне, потому что Chrome для Android поставляется с собственным хранилищем Root CA и не использует хранилище Root CA Android OS, или, по крайней мере, имеет другую логику проверки доверия.

Установленные мной сертификаты пришли непосредственно из ZIP-файла, который Comodo отправил мне по электронной почте:

AddTrustExternalCARoot.crt (this is the root CA)
COMODORSAAddTrustCA.crt (this is a higher-level intermediate CA)
COMODORSADomainValidationSecureServerCA.crt (this is a lower-level intermediate CA)
www_myserver_com.crt (this is my server's cert)

Когда я установил их в хранилище сертификатов Windows для использования RDP и MDaemon, я преобразовал эти сертификаты в файл PKCS12, используя

cat "./www_myserver_com.crt" "./COMODORSADomainValidationSecureServerCA.crt" "./COMODORSAAddTrustCA.crt" "AddTrustExternalCARoot.crt" > "./fullchain.crt"
openssl pkcs12 -in "./fullchain.crt" -inkey "./www_myserver_com.key" -out "./fullchain.pfx" -export

а затем импортировал файл PFX в оснастку MMC "Сертификаты" для учетной записи компьютера, используя место назначения автоматического хранилища. Я выбрал новый сертификат в диалоге настроек безопасности MDaemon в разделе SSL & TLS > MDaemon и нажал "Перезагрузить серверы". Используя OpenSSL, я вижу, что правильный сертификат обслуживается вместе с промежуточными сертификатами.

C:\>openssl s_client -connect myserver.com:993
CONNECTED(00000003)
depth=2 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN
= COMODO RSA Certification Authority
verify return:1
depth=1 C = GB, ST = Greater Manchester, L = Salford, O = COMODO CA Limited, CN
= COMODO RSA Domain Validation Secure Server CA
verify return:1
depth=0 OU = Domain Control Validated, OU = PositiveSSL, CN = www.myserver.com
verify return:1
---
Certificate chain
 0 s:/OU=Domain Control Validated/OU=PositiveSSL/CN=www.myserver.com
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Dom
ain Validation Secure Server CA
 1 s:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Dom
ain Validation Secure Server CA
   i:/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA Cer
tification Authority
---
Server certificate
-----BEGIN CERTIFICATE-----
MII..8hg==
-----END CERTIFICATE-----
subject=/OU=Domain Control Validated/OU=PositiveSSL/CN=www.myserver.com
issuer=/C=GB/ST=Greater Manchester/L=Salford/O=COMODO CA Limited/CN=COMODO RSA D
omain Validation Secure Server CA
---
No client certificate CA names sent
Server Temp Key: ECDH, P-256, 256 bits
---
SSL handshake has read 3401 bytes and written 450 bytes
---
New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
No ALPN negotiated
SSL-Session:
    Protocol  : TLSv1
    Cipher    : ECDHE-RSA-AES256-SHA
    Session-ID: F04A0000068E4DC91357783440DA44EEB39DA3C813C3C646EBCE29DDD3E8C139

    Session-ID-ctx:
    Master-Key: FF3D72A03F1F93686AC6EAB38198036C7AF1780250ED3F510A83CE6DC166778F
A726DBC2AA4ED6C5277A0969D175E419
    Key-Arg   : None
    PSK identity: None
    PSK identity hint: None
    SRP username: None
    Start Time: 1495135778
    Timeout   : 300 (sec)
    Verify return code: 0 (ok)
---

Я посмотрел на цепочку сертификатов в Android и был ли корневой CA в магазине CA Android.

Вот ожидаемая полная цепочка сертификатов. Имена ниже являются Общими именами (CN).

AddTrust External CA Root
└─COMODO RSA Certification Authority
  └─COMODO RSA Domain Validation Secure Server CA
    └─www.myserver.com

Я увидел, что внешний корень CA AddTrust существует в хранилище сертификатов Android с правильным отпечатком.

Почему K-9 Mail выдает ошибку о том, что нет пути от сертификата TLS моего сервера до доверенного корневого ЦС?