GrandDixence
Damit lässt sich eine mit einem selbsterstellten X.509-Zertifikat abgesicherte, verschlüsselte Webseite gar nicht mehr im Webbrowser Firefox öffnen.
Das stimmt, man kann Browser so härten, dass „unsichere“ Seiten nicht angezeigt/geöffnet werden. Allerdings ist es nicht immer eine gute Idee. Stelle dir mal vor, dass du so einstellst, wie du vorschlägst. Dann kaufst du ein Gerät mit einem selbstsignierten Zertifikat (was in der Regel der Fall ist) und willst es konfigurieren. Wenn das Gerät sonst keine unverschlüsselte Zugriffsmöglichkeit anbietet, dann wird es „lustig“ … 😉
Ich behaupte nicht, dass solche Massnahmen unsinnig sind, aber sie sind nicht immer sinnvoll.
Was deine Aussage zum Einsatz eines eigenen privaten Zertifikats betrifft, es stimmt nur bedingt. Es ist richtig, dass das eingespielte Zertifikat durch einen Firmware-Upgrade überschrieben werden kann, aber man könnte es nach dem Upgrade wieder hochladen. Aber lass uns mal die möglichen Szenarien durchspielen.
- Sunrise ändert nichts und das aktuelle Zertifikat bleibt. In diesem Fall wird der Benutzer mit der lästigen Fehlermeldung leben müssen, denn das Importieren des Zertifikats im System/Browser Trust Store wird nichts bringen (CN missmatch). Das bedeutet, dass gewisse Funktionen wie z. B. das automatische Ausfüllen von Zugangsdaten und/oder Formularen nicht korrekt funktionieren werden.
- Sunrise installiert ein selbstsigniertes Zertifikat, ähnlich wie es bei den Fritzboxen implementiert ist. In diesem Fall würde es genügen, das Zertifikat im System oder Browser zu importieren, damit die Fehlermeldung verschwindet und der Browser sich somit „normal“ verhält. Allerdings muss man das bei jedem Gerät tun, das auf den Router zugreifen muss. Sollte sich das Router-Zertifikat bei einem Upgrade ändern, dann muss das neue Zertifikat ebenfalls importiert und das alte Zertifikat gelöscht werden, und zwar wieder auf jedem Gerät
- Sunrise erlaubt den Einsatz eines (von einer eigenen privatem CA ausgestellten) Zertifikats. in diesem Fall braucht man nur das CA Zertifikat einmalig auf jedem Gerät zu importieren. Das eigene Zertifikat wird dann vertraut (keine Fehlermeldung mehr). Wird es bei einem Upgrade überschrieben, dann kann man das eigene Zertifikat erneut auf dem Router installieren. Weitere Aktionen auf den restlichen Clients sind durch die einmalige Installation des CA Zertifikats nicht notwendig.
Wenn man diese Szenarien berücksichtigt, ist der Einsatz von eigenen Zertifikaten (sofern möglich) vielleicht nicht so eine „selten dumme Idee“ … 😉
Aber wie ich schon mal gesagt habe, mal schauen was Sunrise macht …
