SSL Zertifikate: Unterschied zwischen den Versionen

Aus Gemini-Wiki
Zur Navigation springen Zur Suche springen
K (→‎Linux Script zum generieren eines eigenen SSL-Zertifikat: - Angabe zur Tagesanzahl wg. Überlauf bei Generierung)
K (Mfgeg verschob Seite SSL Webif Zugriff nach SSL Zertifikate, ohne dabei eine Weiterleitung anzulegen)
 
(3 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
[[Kategorie:Index]]
+
{{Achtung|Bei aktuellen Enigma2 Images müssen keine eigenen Zertifikate mehr erstellt werden. Das [[Webinterface]] erstellt seit der Version '''1.7.0''' beim ersten Start, oder bei nicht vorhanden sein der Zertifikate, selbst neue. So hat ihr immer eindeutige Zertifikate auf euren Dreamboxen.}}
[[Kategorie:FAQ und Anleitungen]]
+
[[Bild:Erweiterungen-Webinterface-Enigma2.png|right|thumb|400px|HTTPS Einstellungen für das Webinterface]]
{|width=99%
 
<div style="margin: 0; margin-right:10px; border: 1px solid #dfdfdf; padding: 1em 1em 1em;  background-color:#F8F8FF; align:right;">[[Bild:Artikel_Hinweis.png|right|40px|The Gemini Project]]
 
== verschlüsselter SSL Webinterface Zugriff ==
 
 
 
 
<div style="background-color: #FFFAFA; border: 1px padding: .4em; solid #cccccc;">
 
 
 
 
3c5x9 hat uns Support für die '''verschlüsselte Übertragung via SSL''' in das WebInterface eingebaut.
 
3c5x9 hat uns Support für die '''verschlüsselte Übertragung via SSL''' in das WebInterface eingebaut.
 
Es ist nun möglich, auf Ports einzeln die Verschlüsselung einzuschalten und damit die Verbindung über das Internet zu sichern. Passwörter, sensible Dokumente oder Daten werden damit nicht mehr in Klartext durch das Internet übertragen.
 
Es ist nun möglich, auf Ports einzeln die Verschlüsselung einzuschalten und damit die Verbindung über das Internet zu sichern. Passwörter, sensible Dokumente oder Daten werden damit nicht mehr in Klartext durch das Internet übertragen.
 
[[Bild:Erweiterungen-erster_Start-Enigma2.png|left|thumb|500px|Erweiterungen Enigma2]]
 
[[Bild:Erweiterungen-Webinterface-Enigma2.png|left|thumb|500px|Einstellungen für das Webinterface]]
 
<br style="clear:both;" />
 
 
  
 
'''ACHTUNG:''' Benutzt wird dazu OpenSSL und selbsignierte SSL Zertifikate. Dieses Zertifikat kann durchaus so benutzt werden, '''es ist aber empfohlen dieses durch ein selbst Erstelltes zu ersetzen'''. Die Benutzung eines öffendlichen Private Key (öffentlich, weil es im CVS liegt) ermöglicht es potenziellen Angreifern das Nachbauen der Verschlüsselung und somit das Mitlesen der Daten.
 
'''ACHTUNG:''' Benutzt wird dazu OpenSSL und selbsignierte SSL Zertifikate. Dieses Zertifikat kann durchaus so benutzt werden, '''es ist aber empfohlen dieses durch ein selbst Erstelltes zu ersetzen'''. Die Benutzung eines öffendlichen Private Key (öffentlich, weil es im CVS liegt) ermöglicht es potenziellen Angreifern das Nachbauen der Verschlüsselung und somit das Mitlesen der Daten.
Zeile 21: Zeile 9:
  
 
Da es ein selbst signiertes Zertifikat ist, meckern die Browser über ein nicht vertrauenwürdes Zertifikat. Das liegt daran, dass das Zertifikat nicht von einer sicheren Stelle überprüft wurde. Um sich mit der Box verbinden zu können, müsst ihr das Zertifikat im Browser manuell hinzufügen. Firefox bietet dies in der entsprechenden Fehlermeldung von sich aus an. IE- oder Opera-Nutzer müssten gucken wie das bei ihnen funktioniert.
 
Da es ein selbst signiertes Zertifikat ist, meckern die Browser über ein nicht vertrauenwürdes Zertifikat. Das liegt daran, dass das Zertifikat nicht von einer sicheren Stelle überprüft wurde. Um sich mit der Box verbinden zu können, müsst ihr das Zertifikat im Browser manuell hinzufügen. Firefox bietet dies in der entsprechenden Fehlermeldung von sich aus an. IE- oder Opera-Nutzer müssten gucken wie das bei ihnen funktioniert.
 
 
</div>
 
|}
 
  
 
== Linux Script zum generieren eines eigenen SSL-Zertifikat ==
 
== Linux Script zum generieren eines eigenen SSL-Zertifikat ==
<pre>
+
<syntaxhighlight>
 
#!/bin/sh
 
#!/bin/sh
 
###############################
 
###############################
Zeile 42: Zeile 26:
 
echo 'new certificate is stored in ./generatedCERT/'
 
echo 'new certificate is stored in ./generatedCERT/'
 
echo 'copy server.pem and cacert.pem to /etc/enigma2/'
 
echo 'copy server.pem and cacert.pem to /etc/enigma2/'
</pre>
+
</syntaxhighlight>
  
 
Eine Anmerkung: Falls openssl bei Generieren des Zertifikates beim 3. Befehl (mit x509) einen Fehler ausgibt, muss die Anzahl der Tage verringert werden. Der Stichtag für den Überlauf der Variablen ist im Jahr 2036 und die Anzahl der Tage darf nicht größer sein als bis zu diesem Stichtag.
 
Eine Anmerkung: Falls openssl bei Generieren des Zertifikates beim 3. Befehl (mit x509) einen Fehler ausgibt, muss die Anzahl der Tage verringert werden. Der Stichtag für den Überlauf der Variablen ist im Jahr 2036 und die Anzahl der Tage darf nicht größer sein als bis zu diesem Stichtag.
Zeile 48: Zeile 32:
 
Falls auf der Dreambox OpenVPN installiert ist, sollte dieses Script 1:1 auf der Dreambox laufen.
 
Falls auf der Dreambox OpenVPN installiert ist, sollte dieses Script 1:1 auf der Dreambox laufen.
  
Wichtig noch: Nach Generierung der Zertifikatsdateien müssen die Dateien server.pem und cacert.pem in den Ordner /etc/enigma2 auf der betreffenden Dreambox kopiert werden. Der Rest der Dateien braucht NICHT auf die Box kopiert werden.
+
{{Achtung|Nach Generierung der Zertifikatsdateien müssen die Dateien <code>server.pem</code> und <code>cacert.pem</code> in den Ordner <code>/etc/enigma2</code> auf der betreffenden Dreambox kopiert werden. Der Rest der Dateien wird nicht benötigt.}}
  
'''Zurück zur Übersicht:[[Gemini-Wiki:Portal]] oder [[Hauptseite]]'''
+
[[Kategorie:Anleitungen]]
 +
[[Kategorie:Enigma2]]

Aktuelle Version vom 7. Juni 2014, 17:51 Uhr

Ambox attention.png Bei aktuellen Enigma2 Images müssen keine eigenen Zertifikate mehr erstellt werden. Das Webinterface erstellt seit der Version 1.7.0 beim ersten Start, oder bei nicht vorhanden sein der Zertifikate, selbst neue. So hat ihr immer eindeutige Zertifikate auf euren Dreamboxen.
HTTPS Einstellungen für das Webinterface

3c5x9 hat uns Support für die verschlüsselte Übertragung via SSL in das WebInterface eingebaut. Es ist nun möglich, auf Ports einzeln die Verschlüsselung einzuschalten und damit die Verbindung über das Internet zu sichern. Passwörter, sensible Dokumente oder Daten werden damit nicht mehr in Klartext durch das Internet übertragen.

ACHTUNG: Benutzt wird dazu OpenSSL und selbsignierte SSL Zertifikate. Dieses Zertifikat kann durchaus so benutzt werden, es ist aber empfohlen dieses durch ein selbst Erstelltes zu ersetzen. Die Benutzung eines öffendlichen Private Key (öffentlich, weil es im CVS liegt) ermöglicht es potenziellen Angreifern das Nachbauen der Verschlüsselung und somit das Mitlesen der Daten.

Um ein eigenes Zertifikat zu erstellen, findet ihr hier ein Script. Dies funktioniert unter Linux, in dem OpenSSL installiert sein muss. Es erstellt die Dateien server.pem und cacert.pem. Die server.pem enthält dabei den sog. Privatekey und sollte unter Verschluss gehalten werden und nicht weiter gegeben werden. Die Dateien müssen dann beide nach /etc/enigma2/ kopiert werden und die dort vorhandenen ersetzt werden.

Da es ein selbst signiertes Zertifikat ist, meckern die Browser über ein nicht vertrauenwürdes Zertifikat. Das liegt daran, dass das Zertifikat nicht von einer sicheren Stelle überprüft wurde. Um sich mit der Box verbinden zu können, müsst ihr das Zertifikat im Browser manuell hinzufügen. Firefox bietet dies in der entsprechenden Fehlermeldung von sich aus an. IE- oder Opera-Nutzer müssten gucken wie das bei ihnen funktioniert.

Linux Script zum generieren eines eigenen SSL-Zertifikat

#!/bin/sh
###############################
# script to generatate a self signed ssl certificate
###############################
openssl req -new > server.cert.csr
openssl rsa -in privkey.pem -out server.cert.key
openssl x509 -in server.cert.csr -out server.cert.crt  -req -signkey server.cert.key -days 9000
cat server.cert.key server.cert.crt > server.pem
cat server.cert.crt > cacert.pem
mkdir ./generatedCERT
mv server.pem ./generatedCERT/
mv cacert.pem ./generatedCERT/
echo 'new certificate is stored in ./generatedCERT/'
echo 'copy server.pem and cacert.pem to /etc/enigma2/'

Eine Anmerkung: Falls openssl bei Generieren des Zertifikates beim 3. Befehl (mit x509) einen Fehler ausgibt, muss die Anzahl der Tage verringert werden. Der Stichtag für den Überlauf der Variablen ist im Jahr 2036 und die Anzahl der Tage darf nicht größer sein als bis zu diesem Stichtag.

Falls auf der Dreambox OpenVPN installiert ist, sollte dieses Script 1:1 auf der Dreambox laufen.

Ambox attention.png Nach Generierung der Zertifikatsdateien müssen die Dateien server.pem und cacert.pem in den Ordner /etc/enigma2 auf der betreffenden Dreambox kopiert werden. Der Rest der Dateien wird nicht benötigt.