Beiträge von WismutKumpel

Gaaaanz vorsichtige Rückfrage (verursacht durch die Bemerkung "Online nicht zu erreichen"):

Könnte es vlt. sein, dass es sich bei deinem Serverzertifikat um ein selbst hergestelltes oder gar (wie bei bestimmten Druckern, NAS usw. üblich) vom Gerät selbst signierten und sogar als Root-Zertifikat deklariertes Zertifikat handelt?

Manche Browser, MUA u.a. schauen sehr genau hin, und manche schauen weg.

Selbstverständlich kannst du für nicht öffentlich erreichbare oder nur für einen begrenzten Teilnehmerkreis erreichbare Server Zertifikate selbst herstellen. Aber dann eben auch richtig.

vy 73 de Peter

Ja, was Browser-freies-zum-Lachen. Geschichte aus dem wahren Leben ...

Problem:

Egal, was ich auch für eine Anwendung offen hatte, der Cursor sauste immer ununterbrochen von links nach rechts.

Lösung nach doch einigem Suchen:

Ich hatte mir anlässlich des kommenden Weihnachtsfestes eine neue und auch recht teure Tastatur (Cherry mit mechanischen Tasten) gegönnt. Wunderbar, ein Traum ...

Die uralte ausgeleierte Tastatur mit der Gummimatte "flog" mit kühnem Schwung in mein Regal, um dort die Zeit bis zur Entsorgung zu verbringen.

Und nach ein paar Tagen landeten dann die ausgelesene c't und die iX ebenfalls in dieses Regal.

Und dann trat urplötzlich der o.g. Fehler auf.

Und wer will, darf jetzt gerne lachen ... .

vy 73 de Peter

gumbl:

Ich bin zwar auch 100%iger Linuxuser, aber ich kann dir das trotzdem erklären Hier also die Erklärung für "Mausschubser":

1. Auf dem "auswärts zu betreibenden Gerät" (Smartphone oder Laptop usw.) sicherstellen, dass dieses nicht direkt mit dem eigenen Heimnetz verbunden ist. Also bspw. dieses direkt über Mobilfunk (also ohne WLAN!) betreiben oder mal beim Nachbarn fragen, ob du mal in sein (W)LAN kannst. Dann sollte dazu aber das eigene WLAN temporär abgeschaltet werden.
2. Jetzt mit diesem (ohne Zugang zum eigenen Netz betriebenen!) Gerät die Seite http://www.whatismyip.com aufrufen. Dir wird jetzt die IP deines Nachbarn oder deines Mobilfunkzuganges angezeigt. In beiden Fällen kannst du auch deutlich sehen wenn dein Nachbar einen anderen Provider hat oder eben den Namen deines Mobilfunkproviders. => die angezeigte IP aufschreiben. Es reicht die angezeigte IPv4, denn das verkrüppelte AVM-VPN kann immer noch kein IPv6.
3. Nun das VPN aktivieren und die o.g. Seite erneut aufrufen oder neu laden lassen. Jetzt solltest du eine andere IP (die deines eigenen Internetzuganges) angezeigt bekommen. => ebenfalls aufschreiben und dann mit der Anzeige in der Fritz!Box vergleichen.
4. Jetzt kannst du auch über den aktivierten VPN-Tunnel einen der üblichen Speedtests für Mausschubser durchführen. Nicht wundern, wenn das Ergebnis nicht gerade prickelnd ist.

OK?

vy 73 de Peter

Zitat von gumbl

Was schlägst du vor?

Hallo,

ich wurde zwar in diesem Kontext nicht gefragt, antworte aber trotzdem.

Für ca. 15€nen erhältst du in der Bucht eine der aus nicht verständlichen Gründen ungeliebten F!B 7412. In Verbindung mit 1/2 Stunde Lesen im Netz (bspw. hier: Billige Fritzbox 7412: Wireguard-VPN und DNS-Verschlüsselung ...) und einer Stunde Bastelspaß hast du vor dir einen sehr gut funktionierenden Wireguard-VPN-Server vor dir zu stehen. Und Wireguard ist ist IMHO das beste VPN, was es aktuell gibt. Und diesem VPN ist es (im Gegensatz zum kastrierten AVM-VPN welches die Fritz!Box von zu Hause aus mitbringt) egal, ob dein Anschluss DS-lite oder DS mit einer routingfähigen IPv4 hat. Wireguard funktioniert mit beiden Protokollen. Und die zu erreichende Bandbreite des Tunnels entspricht fast der deines Uplinks (nun ja, nicht gerade mit der 7412, aber wenn du wesentlich mehr als 40Mbit/s haben solltest, dann eben mit der 4040).

Falls du dich dafür interessierst, kann ich dir gerne helfen.

Hier hat "jemand" auch etwas dazu geschrieben: #8

vy 73 de Peter

Ich bleibe bei meiner Aussage. (Nein, das Alter ist kein Verdienst. Und ich wäre auch gerne noch 5 Jahre jünger. Nicht mehr, denn täglich auf Arbeit gehen möchte ich jetzt nicht mehr. So gerne, wie ich meinen Job all die Jahre gemacht habe.)

BTW:

Mein erstes eigenes Auto war ein Skoda 105L. An meinem 30. Geburtstag war meine Warteliste endlich abgearbeitet. milupo wird verstehen, was ich damit meine.

vy 73 de Peter

Jaja, ist schon interessant, wie die jungschen Kerle hier über die alten Zeiten debattieren ... .

Hallo,

ich möchte den Beitrag von Sören noch um einige persönliche Erfahrungen ergänzen.

Ich betreibe seit ~15 Jahren (wo ich vor meiner Pensionierung noch Mitarbeiter eines großen TrustCenters war) eine "gar nicht mal so kleine" Privat-CA. In diesen Jahren habe ich mitunter bis zu 600 Zertifikate pro Jahr hergestellt. In erster Linie für die private S/MIME-Verschlüsselung unserer Mitarbeiter, aber auch viele für diverse privat betriebene Webseiten, Fritz!Boxen, NAS, VPN-Endpunkte usw.

Die Produktion dieser Zertifikate erfolgt nach exakt den gleichen Regeln, wie sie für kommerziell betriebene CA üblich sind - natürlich immer im Rahmen des "Zumutbaren". Ach ja, an LE war damals noch nicht zu denken ... .

Der einzige Unterschied zu den etablierten kommerziellen TC ist, dass deren Herausgeberzertifikate von den Herstellern der diversen Browser, MUA, VPN-Clients usw. bereits vorinstalliert werden. (Manche fliegen auch aus guten Gründen wieder raus ... .) Alles andere ist völlig identisch. Und es ist auch so, dass alle TrustCenter erst einmal ihren eigenen root-Schlüssel selbst generiert haben. Das root-Zertifikat wurde dann entweder selbst signiert oder (meist gegen Bezahlung) zur Signatur an ein etabliertes TC übergeben. Das allererste root-Zertifikat des ersten TC war deshalb auch ein selbst signiertes.

Letztendlich entscheidet die Reputation oder die entsprechenden Selbsterklärungen der TC (nach hoffentlich strenger Überprüfung) - oder eben die Nutzung der Signatur durch ein etabliertes TC - darüber, welches TC in den Browsern usw. gelistet ist. (Und natürlich der Betrag, welchen das jeweilige TC dafür bereit ist, zu zahlen ... .)

Jetzt ist lediglich wichtig, wer die Nutzer der entsprechenden angebotenen und mit diesen selbst signierten Zertifikaten versehenen Dienste sind. Wird ein Dienst ganz öffentlich im Netz angeboten, verbietet es sich fast von selbst, selbst signierte Zertifikate zu verwenden (ist ja auch Dank LE nicht mehr unbedingt erforderlich). Aber zur S/MIME-verschlüsselten Kommunikation untereinander bekannter Personen oder auch zum Zugriff bestimmter berechtigter Personen auf diverse Dienste steht absolut nichts dagegen, dafür selbst signierte Zertifikate zu benutzen. Die erreichbare Sicherheit ist (zumindest bei sachgerechter Produktion dieser Zertifikate und Nutzung eines sicheren Hardware-RGN und auf einem speziell abgesicherten und nicht am Netz hängenden Rechner usw.) ist völlig identisch mit den Produkten kommerzieller TC. Und ja, Vertrauen kann man sich auch erarbeiten ... .

Wenn dann das immer mit übergebene root- (und Jahres-) Zertifikat der privaten CA durch den jeweiligen Nutzer manuell in seinem Browser und MUA unter "Herausgeberzertifikate" importiert wird, sind diese Zertifikate denen der kommerziellen Anbieter ebenbürdig. Dann klappt es auch ohne "Meckermeldung".

Und ein mit openssl selbst erzeugtes Primitiv-Zertifikat ohne jegliche Restiktionen, welches sich dann selbst als CA ausgibt und dann im Rahmen einer "Ausnahmeregel" im Browser importiert wird, ist für mich ein No-Go.

vy 73 de Peter

Vielleicht noch ein wenig zu diesem Thema:

• .cer, .der, .p7b und (mitunter) .pem sind die reinen "öffentlichen" Zertifikate. Wie schon geschrieben, beinhalten sie zumindest den public key und die Bestandteile für die Identitätsprüfung - womit ich dich jetzt nicht zuschütten möchte.
  Und die Besonderheit bei .pem ist, das in diesem Format auch private Schlüssel exportiert werden können. Ja, das kann zur Verwirrung führen => durch Anzeige mit einem normalen Texteditor kann man das aber deutlich erkennen, wenn dort "private key" steht.
• In allen Zertifikaten (-sdateien) kann, muss aber nicht, neben den o.g. benötigten Bestandteilen das oder die Herausgeberzertifikate des herausgebenden TrustCenters beinhaltet sein.
• Für die Gültigkeitsprüfung eines Zertifikates ist/sind aber die Herausgeberzertifikate zwingend erforderlich. Das ist sozusagen das "elektronische Dienstsiegel" des Herausgebers. Diese Herausgeberzertifikate können wie folgt bereitgestellt werden:
  - als vom Hersteller des Gerätes oder des Browsers oder ... geprüfte und bereits importierte "vertrauenswürdige Zertifikate"
  - als Bestandteil der direkt importierten Server oder Benutzerzertifikat (gerade im .p7b ist die gesamte Zertifikatskette enthalten)
  - oder als zusätzlich zu importierende Zertifkatsdateien.
  Letztendlich ist das für die Gültigkeit der zu prüfenden Zertifikate uninteressant. Hauptsache, die Zertifikatskette ist vorhanden und kann geprüft werden.
• Und dann gibt es noch die geheim zu haltenden privaten Schlüssel. Diese müssen auf einem sicheren Weg bereitgestellt oder übertragen werden und sind (wenn als Datei vorliegend) .p12, .pfx oder auch .pem-Dateien. Und sie sind auch (fast immer) mit einem Transport-Passwort geschützt. Für deren Import wird ebenfalls die Zertifikatskette des ausstellenden TrustCenters benötigt. Und die sicherste Methode für den Umgang mit derartigen privaten Schlüsseln ist die Speicherung auf einer entsprechend ausgestatteten Microprozessor-Chipkarte - aber diese kennst du ja wohl bestens.

Habe ich dich doch zugeschüttet ... .

BTW: Ich habe doch wirklich die gesamte Anleitung von Secunet durchgelesen. Und das hat sogar gute Erinnerungen an die letzten 15 Jahre meiner beruflichen Tätigkeit hervorgebracht. So unterschiedlich ist das eben.

vy 73 de Peter

Die Frage habe ich ja auch schon gestellt. Aber es gibt wirklich Geräte, wo ein bestimmtes Format gefordert wird - warum auch immer.

Ach ja, selbst der Thunderbird kann im- und in diversen Formaten exportieren.

Mit Windows kann ich es "leider" nicht probieren, denn ichhabegarkeinwindows ... .

Aber, egal wie es ist, eine Konvertierung ist immer möglich.

Hallo argsef,

zuerst einmal 2 grundsätzliche Bemerkungen dazu:

1. Sowohl .pem als auch .cer sind vom eigentlichen Inhalt her völlig identische Dateien. Nur eben als BASE-64 codierte ASCII-Datei oder in binärer Form. In den meisten Fällen ist dem importierenden Gerät egal, welches Format vorliegt (hast du probiert?)
2. Beide enthalten den öffentlichen Schlüssel des Servers (und in der Regel noch die der herausgebenden Stelle/n) und Daten zur Identifizierung und das ganze vom Herausgeber signiert).

Wenn der Firefox es wirklich nicht ermöglicht, ein anderes Format als .pem zu exportieren (ich habe das nicht ausgetestet), dann gibt es viele Möglichkeiten, einen Export als .pem in so ziemlich jedes Format zu konvertieren. Dabei treten auch, wenn du es richtig machst, keine Verluste auf.

Gib in die Suchmaschine deines geringsten Misstrauens "Konvertieren .pem in .cer" ein und du bekommst eine Reihe guter Hinweise. Sie sehen IMHO alle "gut" aus.

Viel Erfolg!

Peter

edit: Willkommen im Forum!

Danke, DAS verstehe ich unter einer zielführenden Antwort!

Der Link ist exakt jener, welcher im TrayIcon eines laufenden Duplicati-Dienstes angezeigt wird (Open/Pause/Quit, hier eben Open). Diesen Link habe ich bei laufendem Fx geöffnet und dann angeheftet.

Leider hat das Entfernen von "/#" nichts bewirkt.

Also werde ich mich jetzt mit dem Inspektor durch den Quelltext wühlen. Wird schon noch ... .

Hallo .DeJaVu,

zuerst einmal Danke, dass du mir eine, wenn auch nicht hilfreiche, Antwort geschrieben hast.

Dass dort kein Text steht, habe ich ja selbst in meiner Problembeschreibung gepostet. Meine Frage war, ob und wie ich aus dem Quelltext irgend etwas relevantes für die Fehlersuche herauslesen kann bzw. wonach ich suchen muss.

Mittlerweile habe ich festgestellt, dass dieser Effekt nur bei einem angepinnen Fenster - und wie schon geschrieben, immer beim ersten Start des Browsers - auftritt. Starte ich den Fx und rufe danach die Seite auf, wird selbige ordnungsgemäß dargestellt.

Und, mit Duplicati kenne ich mich bestens aus. Ich schrieb ja auch, dass dieses Programm bei mir sehr zuverlässig funktioniert. Immerhin laufen bei mir 14 verschiedene nach Zeitplan gestaffelte Sicherungsläufe. Und auch meine weiteren 7 VPN-Teilnehmer sichern damit ihre Daten wechselseitig zeitgesteuert auf ihre und die anderen NAS.

Hallo Experten des Firefox!

Ich habe gegenwärtig ein lästiges, aber keinesfalls funktionseinschränkendes Problem beim Betrachten des GUI meines lokalen Duplicati-Servers (das ist ein Programm für die vollautomatische Datensicherung auf diverse Server per WebDAV).

Ich bin mir recht sicher, dass dies KEIN "Firefox-Problem" ist, erhoffe mir mit meinem Posting hier lediglich Tipps für die Suche nach der Ursache.

Wenn ich den angehefteten Reiter Reiter (Add-on "Gruppen-SpeedDial) mit dem in Hintergrund laufenden GUI vonDuplicati (nur lokaler Link: http://localhost:8200/ngax/index.html#/) erstmalig nach Browserstart öffne, wird auf der abgedunkelten Oberfläche ein leeres Hinweisfenster angezeigt. Dieses verschwindet sofort spurlos bei Betätigung von [F5], [Strg]+[R] oder auch beim Leeren des Caches.

Dabei "sehe" ich für den Bruchteil einer Sekunde, dass in dem verschwindenden, vorher leeren, Hinweisfenster irgend eine Meldung steht - oder besser stand. => Screenshot.

Meine Frage, kann man den Quelltext irgendwie erkennen (Browser-Konsole?) und vor allem wonach soll ich bei einem leeren Fenster suchen?

Und hat überhaupt jemand einen Hinweis für die Fehlersuche.

Bevor die Frage kommt: Duplicati läuft seit mindestens einem Jahr völlig stabil und sichert klaglos und ohne mein Eingreifen die /home meiner Nutzer über meine Wireguard-Verbindungen auf diverse NAS meiner VPN-Partner.

Vielen Dank schon mal für zielführende Antworten.

Glück Auf!

Peter

Wenn du ein auberes und konsistentes System haben willst, dann solltest du deine Programme aus dem "repo-oss" (also einem der von openSUSE gepflegten Standardrepos) nehmen. Dann werden auch automatisch die Sprachdateien mit installiert.

Bist du allerdings "mutig", hast du es besonders eilig und kannst du mit evtl. Problemen umgehen und auch mit fehlenden Sprachdateien leben, dann kannst du das Mozilla-Repo (oder ein Community-Repo) nehmen.

Nach entsprechender und meistens auch sorgfältiger Überprüfung landen die aktuellen Programme nach wenigen Tagen auch im repo-oss.

MfG Peter

(seit ca. 1995 openSuSE, aktuell Tumbleweed, seit 2000 100% Windws-frei)

Zitat von Sören Hentzschel

Die hier vorgestellten Neuerungen werden im Juli für alle Nutzer ausgerollt werden.

Noch hat "der Juli" ein paar Tage Zeit.

(Aber mach dir nichts draus, ich habe auch gleich vergeblich gesucht )

Hallo Sören,

vielen Dank erst mal. Zumindest kannst du daraus erkennen, dass es schon mal einen echten Interessenten für 2FA (und dann auch noch gleich mit einem YK) gibt. Da lohnt sich natürlich keine Investition.

Ich versuche bei meinem eigenen IT-Gerödel immer 2FA (möglichst mit YK) einzurichten. Meine beiden NAS, meine und die von mir betreuten Fritz-Boxen und sogar mein KeepassXC bieten das alle schon und bei meinen 8 Wireguard-Servern bin ich gerade dabei, dieses für das Admin-GUI zu installieren , und ich nutze es auch gerne (!), auch wenn es ein ganz klein wenig umständlicher ist, als nur ein PW einzutippen. Aber sonst ist das Thema zur Erhöhung der Sicherheit bei öffentlichen Webseiten nahe NULL. Selbst das Heise-Forum, wo man das eigentlich erwarten könnte, rührt sich da (trotz Nachfrage) nicht. Auch das 1&1-Forum schläft weiterhin.

Aber einer muss den Anfang machen! Auch wenn das Interesse erst mal (erwartungsgemäß) recht gering zu sein scheint.

Ich wünsche dir dabei viel Erfolg!

Gleich noch eine Frage dazu:

Wie ist das mit der Auth mittels (Software-)Token, also dem "Angemeldet bleiben"?

MfG Peter

Zuerst einmal, meine volle Zustimmung!

Es wird Zeit, dass auch "normale" Webseiten diese 2FA anbieten.

Dazu gleich eine Frage: Wird auch irgendwann der Yubi-Key unterstützt? Ein "Tatsch" mit dem Finger ist halt wesentlich bequemer als 6 Ziffern einzuhacken. Würde mich freuen.

MfG Peter

Zitat von gumbl

Wie funktioniert das mit dem Hauptpasswort in Firefox?

Aus dem Hauptpasswort wird ein Schlüssel abgeleitet, mit welchem die Datenbank mit deinen Passwörtern verschlüsselt wird.

Dieses Passwort bestimmt also die Sicherheit aller deiner im Browser gespeicherten Passwörter. Und die genutzte Verschlüsselung ist auf alle Fälle für unsere privaten Zwecke völlig ausreichend.

Und jetzt betrachten wir das ganze einmal genau anders herum.

Wenn du dir einige Passwörter merkst oder aufschreibst, dann sind diese PW mit großer Wahrscheinlichkeit so genannte Trivialpasswörter. Ich kenne niemanden, der sich so richtig gute PW, und zwar für jeden Zugang ein anderes, merken kann oder jedes mal von einem Zettel abtippt.

Wenn du allerdings einen Passwortmanager benutzt (und wenn es der des Fx ist), dann kannst du für jeden einzelnen Zugang ein eigenes, langes, komplexes und garantiert nicht merkbares PW benutzen, welches du dir niemals (*) merken oder händisch eingeben musst.

Ich meine damit solche PW wie dieses hier: h_B1@|3@E+&)fXVl<7-.W&}2

(*) Diese PW lasse ich durch meinen im PW-Manager vorhandenen PW-Generator generieren und füge sie dann via Zwischenablage sowohl auf dem Server als auch in den Zugangsdaten ein.

Oder auch nicht? Tanya Roberts doch am Leben - Sprecher gab ihren Tod ... - Spiegel

Hallo Ingo,

Ich weiß, dass man bei Meinungsäußerungen gegen Facebook und seinem Zukauf WhatsApp sehr vorsichtig sein muss, denn wir leben in einer Welt, wo die in der Regel hinsichtlich Datenschutz unbedarften Nutzer "absolut nichts zu verbergen haben" und sich darüber freuen, wenn Firmen über sie Profile bilden, diese gut verkaufen und auch sonst sehr neugierig sind. Damit meine ich nicht nur FB und WA, sondern auch Firmen jeder Art, welche uns tracken und mit Werbung "beglücken".

Wegen letzterem bin ich auch nur in seltenen Fällen einer Meinung mit Sören und ich versuche alles mir zumutbare (bis hin zu pfSense und dem unersetzbaren pi-hole) , eben jenes Tracking zumindest zu erschweren.

Was die von Sören genannte Meinung betreffs eines bestimmten Anwalts und seiner Selbstdarstellung betrifft, so stimme ich dieser Meinung allerdings zu 100% zu.

Wir beide (du, Ingo und ich) kennen uns aus vielen (~15) Jahren gemeinsamer Tätigkeit in einem anderen Forum, wo ich wegen meiner sehr deutlichen Meinung hinsichtlich IT-Sicherheit und Datenschutz kritisiert und letztendlich weggegrault wurde. An meiner Meinung zu diesen beiden Themen hat sich auch absolut nichts geändert, ich bin nur aus Gründen des Eigenschutzes wesentlich leiser geworden und kann jetzt IT-Sicherheit hobbymäßig als Pensionär betreiben.

Fakt ist, dass in meinem Leben und auf meiner Technik Firmen wie Facebook und deren WA absolut nichts zu suchen haben (und auch erfolgreich weggehalten werden). Und ich bin damit weder einsam noch unglücklich. Ganz im Gegenteil! Für meine Familie und meine Freunde bin ich jederzeit per Threema und natürlich per (S/MIME-verschlüsselter) Mail zu erreichen. Und mein Freundeskreis ist recht groß!

Und immer wieder kommt es vor, dass jemand von mir Daten wie meine Mobilfunknummer oder eine (meiner vielen) E-Mailadressen haben will. Klar, bekommt er, aber er muss mir fest versprechen, dass er diese Daten nicht auf einem Smartphone speichert, auf welchem WA installiert ist oder FB genutzt wird.

Und immer wieder schaut mich dann jemand sehr fragend an. Was hast du denn gegen WA? Ich erkläre es ihm dann in aller Ruhe und Sachlichkeit. Ich sage ihm, dass ich nichts dagegen habe, wenn er denn unbedingt WA nutzen "muss", aber dass ich etwas dagegen habe, wenn diese Firma meine Daten (!) von seinem Smartphone saugt, zur Firma hochlädt und diese Daten gewinnbringend verwurstet.

Interessant ist dann auch das Argument, dass Facebook WA damals für 16 Milliarden Dollar (vier Milliarden sollen in bar bezahlt werden, der Rest wird in Facebook-Aktien getilgt) gekauft hat und dann das Programm für lau an seine Nutzer verschleudert. So viel Geld verschenkt? Keinesfalls - verkauft für die Daten der Nutzer! Dieses Argument hat bis jetzt so ziemlich jeder kapiert.

Mit freundlichen Grüßen!

Peter (Pe_Le)