1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › HTTPS: Viele Webseiten nutzen alte…

kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


  1. kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: HeroFeat 07.02.18 - 12:40

    Ich habe gezwungener Weise bei den genannten Anbietern zwei Webseiten gehostet. Dort wird aktuell bei den kostenlosen SSL Zertifikaten auf Symantec gesetzt (IntermiSymantec Basic DV SSL CA - G2). Ich schreibe die dann mal an und frage wie die Pläne aussehen.
    Wenn ich was höre schreibe ich es hier hin.

  2. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: tingelchen 07.02.18 - 12:52

    Wechsel auf LetsEncrypt. Das ist ebenfalls kostenlos und das Tool funktioniert einwandfrei. In ein kleines Shell Script und schon hat man eine Sorge weniger.

  3. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: chefin 07.02.18 - 12:58

    tingelchen schrieb:
    --------------------------------------------------------------------------------
    > Wechsel auf LetsEncrypt. Das ist ebenfalls kostenlos und das Tool
    > funktioniert einwandfrei. In ein kleines Shell Script und schon hat man
    > eine Sorge weniger.

    äääh...ne

    Eine Sorge weniger und 3 Sorgen mehr. Die signieren jeden Scheiss und prüfen nicht genau genug. da kann sich jeder ein Zertifikat für google ausstellen lassen und als MitM benutzen.

    Absolut nicht zu empfehlen.

  4. Re: LetsEncrypt

    Autor: Missingno. 07.02.18 - 12:59

    Wenn man sich selbst noch einmal extra drum kümmern muss, ist es eher eine Sorge mehr als weniger. Vom Gefrickel ganz zu schweigen. Und wer ist der Ansprechpartner, falls etwas nicht funktioniert?

    --
    Dare to be stupid!

  5. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: AngusD 07.02.18 - 13:07

    Wir sind auch bei 1&1 und ich hatte denen im Dezember ne Mail geschrieben, aber als Antwort nur erhalten, dass sie das am Telefon besprechen wollen.

    Bisher hatte ich aber noch keine Zeit gefunden, bei denen anzurufen, weshalb ich ja auch ursprünglich den E-Mail Weg gewählt hatte...

    AD

  6. Re: LetsEncrypt

    Autor: pEinz 07.02.18 - 13:09

    ...du selbst?

    Einfach mal einz von den 91792176 tutorials durchlesen und schon brauch man keinen Ansprechpartner mehr. Lets encrypt ist mittlerweile so unfassbar angenehm das die Zeit in der Telefon warteschlange bei deinem "komptenten Ansprechpartner" (bei 1u1 sind es nur Ansprechpartner) viel mehr ist als das Problem selbst in die Hand zu nehmen.

  7. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: My1 07.02.18 - 13:10

    chefin schrieb:
    --------------------------------------------------------------------------------
    > tingelchen schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Wechsel auf LetsEncrypt. Das ist ebenfalls kostenlos und das Tool
    > > funktioniert einwandfrei. In ein kleines Shell Script und schon hat man
    > > eine Sorge weniger.
    >
    > äääh...ne
    >
    > Eine Sorge weniger und 3 Sorgen mehr. Die signieren jeden Scheiss und
    > prüfen nicht genau genug. da kann sich jeder ein Zertifikat für google
    > ausstellen lassen und als MitM benutzen.
    >
    > Absolut nicht zu empfehlen.

    jede CA die DV anbietet signiert "jeden scheiß" und prüfen "nicht genau genug".

    und sicher kann sich dort nicht jeder n cert für google ausstellen lassen, da man schon beweisen muss dass man ausreichende kontrolle über die domain, bzw was dort gehostet wird, hat.

    und dazu steht auch LE unter den selben regeln des CA/B Forums, und die würden ganz schnell aus den roots fliegen in denen die inzwischen sind (und auch für das intermediate bei IndenTrust würde es sicher ne distrust regel geben) wenn sowas gehen würde.

    Asperger inside(tm)

  8. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: maverick1977 07.02.18 - 13:17

    chefin schrieb:
    --------------------------------------------------------------------------------
    > Eine Sorge weniger und 3 Sorgen mehr. Die signieren jeden Scheiss und
    > prüfen nicht genau genug. da kann sich jeder ein Zertifikat für google
    > ausstellen lassen und als MitM benutzen.

    Und wie soll das von Statten gehen?

    Wäre mir vollkommen neu, dass sich der Bot von LetsEncrypt auf gefälschte DNS-Angaben beziehen kann. Und einen Server als google.com auszugeben, mag ja schon funkitionieren, aber bei der DNS-Rückfrage, ob die IP korrekt ist, würde dies umgehend auffallen.

    Sonst könnte man ja auch ohne weiteres einen HomeWebServer per LetsEncrypt absichern. Aber das geht halt nicht, weil 192.168.x.x wohl kaum einer Domain zugeordnet werden kann.

  9. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: HeroFeat 07.02.18 - 13:30

    Okay, 1und1 hat geantwortet. Sie lassen wohl seit Anfang des Jahres von DigiCert signieren. Allerdings haben sie offensichtlich noch keine alten Zertifikate (die noch nicht ablaufen) umgestellt.

    Let's Encrypt verwende ich bereits. Allerdings muss man beim Webhosting bei den Anbietern leider deren Zertifikate nutzen.

  10. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: hannob (golem.de) 07.02.18 - 13:40

    Zur Ergänzung: Ich hatte bei der Artikelrecherche auch eine Webseite von 1und1 gefunden deren Zertifikat in Canary einen Fehler anzeigt (1and1.com). Hab sie auch informiert, aber da das keine besonders prominente Seite war hab ichs nicht im Artikel erwähnt.

  11. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: Anonymer Nutzer 07.02.18 - 13:40

    Wenn das gehen wuerde, wuerden Lets encrypt zertifikate von Chrome nicht mehr akzeptiert, was dazu fuehren wuerde, dass das Projekt Letsencrypt tot waere.

    Wie du auf so eine Aussage kommst, kannst du schon gern mal erklaeren.

  12. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: AngusD 07.02.18 - 13:41

    Vielen Dank!

    Die Info hätten sie auch in die Mail stecken können, die sie mir geschickt hatten, statt nur die Standardfloskeln (...ist uns wichtig!).

    Unser Zertifikat läuft Ende März ab. Das beobachte ich dann mal.

    AD

  13. Re: LetsEncrypt

    Autor: Anonymer Nutzer 07.02.18 - 13:41

    Nur dass das bei Hosting schon mal gar nicht geht.

    Du kannst keine Letsencryptzertifikate einfach so dem Webserver bekannt machen weil du keine Kontrolle ueber den Webserver hast.

  14. Re: LetsEncrypt

    Autor: My1 07.02.18 - 13:46

    es hängt immer vom hosting ab. der hoster bei dem ich meinen blog und etwas kleinkram liegen habe, hat n cpanel und da ist LE mit drin. das macht alles automatisch, da werde ich nicht mal gefragt.

    Asperger inside(tm)

  15. Re: LetsEncrypt

    Autor: Apollo13 07.02.18 - 14:09

    Auch all-inkl.com bietet (außer im kleinsten Paket meines Wissens immer) in der Administrationsoberfläche die Möglichkeit, LE-Zertifikate zu nutzen. Funktioniert bei mir nun auch seit über anderthalb Jahren anstandslos...

  16. Re: LetsEncrypt

    Autor: tingelchen 07.02.18 - 14:20

    Es ist jetzt wahrlich nicht schwer das Tool zu nutzen. Tutorials gibt es wie Sand am Meer. Für einen einfachen Web Server brauch man noch nicht einmal groß was einstellen. Da reichen auch die Std. Einstellungen. Einfach die Check HTML Datei ins Root Dir legen (Name grad nicht im Kopf), Domain angeben, abfeuern, Zertifikat erhalten. Der Renew ist noch einfacher. Alternativ den gleichen Programmaufruf (inkl. Parameter) noch einmal aufrufen. Das macht auch nen Renew.

    Wenn du kein Script für den Selbst Check machen möchtest, kein Problem. Das Projekt schickt dir mehrere eMails die vor dem Ablauf hinweisen.

    Das geht einfacher als bei so manch Web Frontends. Das Script ist ja nur Optional. Aber einmal fertig, läuft das ganze ohne einen weiteren Handschlag machen zu müssen. Sogar das Update des Tools selbst kann man da mit einbeziehen.

  17. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: tingelchen 07.02.18 - 14:27

    Prüfen genau so wie die anderen auch, wa? Nur weil ein Anbieter auch kostenpflichtige Zertifikate anbietet wird er dadurch nicht besser. Ich frage mich aber wie du es hin bekommst, das der LE Bot google.com mit deiner IP auflöst, statt mit einer der korrekten.

    Ich mein das ginge schon. Du müsstes dann nur die Projekt Server hacken und einen Host Eintrag setzen. Alternativ die DNS Server von Google Hacken und deren Einträge ändern. Aber irgendwie glaube ich nicht dass dein kleiner Server die Last bewältigen würde ;) Der Betreiber des Rechenzentrums würde sich dann auch wundern das die Netzwerklast auf einmal 5x so hoch ist wie Normal.

    Nur so als Info. Die CA Stellen prüfen mit einem Host Aufruf nach ob du auch die Hoheit über den Server hast. Schlägt das fehlt, gibt es auch kein Zertifikat.

  18. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: Drag_and_Drop1337 07.02.18 - 14:51

    chefin schrieb:
    --------------------------------------------------------------------------------
    > tingelchen schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > Wechsel auf LetsEncrypt. Das ist ebenfalls kostenlos und das Tool
    > > funktioniert einwandfrei. In ein kleines Shell Script und schon hat man
    > > eine Sorge weniger.
    >
    > äääh...ne
    >
    > Eine Sorge weniger und 3 Sorgen mehr. Die signieren jeden Scheiss und
    > prüfen nicht genau genug. da kann sich jeder ein Zertifikat für google
    > ausstellen lassen und als MitM benutzen.
    >
    > Absolut nicht zu empfehlen.

    äääh... Gibt es dafür beweise? Technisch kann es nämlich eigentlich nicht dazu kommen, denn jede Domain wird via Webserver challang validiert, bist du nicht owner der Domain, wird auf dem Webserver des Domaininhabers kein file liegen, was validiert werden kann.

  19. Re: LetsEncrypt

    Autor: Missingno. 07.02.18 - 14:55

    Also bei 1&1 sage ich, welche Domain ein SSL-Zertifikat bekommen soll und fertig. Das wird dann eingerichtet und automatisch erneuert, so lange ich nichts Gegenteiliges sage.

    Ein LE-Zertifikat wollte ich mal für eine private Webseite testen, da wurde mir dann empfohlen einen CertBot zu installieren, der mir in den Konfigurationsdateien herumpfuscht. Ab da habe ich aufgehört zu lesen, weil es absolut irrelevant ist, ob die Seite jetzt verschlüsselt ist oder nicht.

    --
    Dare to be stupid!

  20. Re: kostenlose SSL Zertifikate von z.B. 1und1 sowie Strato

    Autor: kilrathi 07.02.18 - 16:25

    chefin schrieb:
    > Eine Sorge weniger und 3 Sorgen mehr. Die signieren jeden Scheiss und
    > prüfen nicht genau genug. da kann sich jeder ein Zertifikat für google
    > ausstellen lassen und als MitM benutzen.
    Äh, und wie soll das gehen, ohne auf Servern, die auf Googles IP lauschen das Zertifikat verifizieren zu lassen?

  1. Thema
  1. 1
  2. 2

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. THE BRETTINGHAMS GmbH, Berlin
  2. thyssenkrupp Elevator AG, Neuhausen auf den Fildern
  3. SySS GmbH, Tübingen
  4. Deutsche Leasing AG, Bad Homburg

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 37,49€
  2. 4,65€
  3. (-35%) 25,99€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Amazon, Netflix und Sky: Disney bringt 2020 den großen Umbruch beim Videostreaming
Amazon, Netflix und Sky
Disney bringt 2020 den großen Umbruch beim Videostreaming

In diesem Jahr wird sich der Video-Streaming-Markt in Deutschland stark verändern. Der Start von Disney+ setzt Netflix, Amazon und Sky gehörig unter Druck. Die ganz großen Umwälzungen geschehen vorerst aber woanders.
Eine Analyse von Ingo Pakalski

  1. Peacock NBC Universal setzt gegen Netflix auf Gratis-Streaming
  2. Joyn Plus+ Probleme bei der Kündigung
  3. Android TV Magenta-TV-Stick mit USB-Anschluss vergünstigt erhältlich

Fitnesstracker im Test: Aldi sportlich abgeschlagen hinter Honor und Mi Band 4
Fitnesstracker im Test
Aldi sportlich abgeschlagen hinter Honor und Mi Band 4

Alle kosten um die 30 Euro, haben ähnliche Funktionen - trotzdem gibt es bei aktuellen Fitnesstrackern von Aldi, Honor und Xiaomi spürbare Unterschiede. Als größte Stärke des Geräts von Aldi empfanden wir kurioserweise eine technische Schwäche.
Von Peter Steinlechner

  1. Wearable Acer und Vatikan präsentieren smarten Rosenkranz
  2. Apple Watch Series 5 im Test Endlich richtungsweisend
  3. Suunto 5 Sportuhr mit schlauem Akku vorgestellt

Ryzen Mobile 4000 (Renoir): Lasst die Ära der schrottigen AMD-Notebooks enden!
Ryzen Mobile 4000 (Renoir)
Lasst die Ära der schrottigen AMD-Notebooks enden!

Seit vielen Jahren gibt es kaum Premium-Geräte mit AMD-Chips und selbst bei vermeintlich identischer Ausstattung fehlen Eigenschaften wie eine beleuchtete Tastatur oder Thunderbolt 3. Schluss damit!
Ein IMHO von Marc Sauter

  1. HEDT-Prozessor 64-kerniger Threadripper schlägt 20.000-Dollar-Xeons
  2. Ryzen Mobile 4000 AMDs Renoir hat acht 7-nm-Kerne für Ultrabooks
  3. Zen+ AMD verkauft Ryzen 5 1600 mit flotteren CPU-Kernen

  1. Kickstarter: Gebundener Mars-Atlas zeigt Karten des Roten Planeten
    Kickstarter
    Gebundener Mars-Atlas zeigt Karten des Roten Planeten

    The Mars-Atlas ist ein interessantes Buch: Es zeigt detaillierte Karten vom Mars statt der Erde. Mehr als 2.000 Standorte sind darauf zu sehen. Auch eine digitale Applikation wird angeboten, auf der Hobbyforscher ein 3D-Modell des Mars erkunden können - ähnlich wie bei Google Mars.

  2. 5G: Österreich sieht sich beim Mobilfunk klar vor Deutschland
    5G
    Österreich sieht sich beim Mobilfunk klar vor Deutschland

    Das schlechteste Mobilfunknetz in Österreich sei immer noch besser als das beste Netz in Deutschland, hat Wirtschaftsministerin Margarete Schramböck behauptet. Auch Messungen bestätigen das.

  3. TLS: Netgear verteilt private Schlüssel in Firmware
    TLS
    Netgear verteilt private Schlüssel in Firmware

    Sicherheitsforscher haben private Schlüssel für TLS-Zertifikate veröffentlicht, die Netgear mit seiner Router-Firmware verteilt. Der Hersteller hatte nur wenige Tage Reaktionszeit. Die Forscher lehnen die Praktiken von Netgear prinzipiell ab, was zur Veröffentlichung geführt hat.


  1. 17:20

  2. 17:07

  3. 16:45

  4. 15:59

  5. 15:21

  6. 13:38

  7. 13:21

  8. 12:30