ayngush schrieb:
UPnP würde ich immer, aus Sicherheitserwägungen, im Router deaktivieren.
Das unterschreibe ich sofort. UPnP ist eine reine Komfortfunktion, die völlig unbeobachtet im Hintergrund arbeitet und keinerlei Unterschied zwischen legitimer Software und Malware macht. Bei einer Spielkonsole (Xbox/PS) mag das Missbrauchspotential noch überschaubar sein - wenn man UPnP im Router auf bestimmte Geräte beschränken kann - aber bei einem PC ist das Sicherheitsrisiko immens hoch, weil jedes Stückchen Software munter Portweiterleitungen erstellen kann. Das zeigt sich zB darin, dass man die neue IP-Kamera wie durch Zauberhand ohne einen Finger krumm zu machen auch von unterwegs angucken kann ... hm.. wie das wohl funktioniert.....
Komfort und Sicherheit sind
gegenläufig. Je komfortabler etwas ist, desto unsicherer ist es in der Regel. Ich sag nur Keyless Entry bei Autos - auszuhebeln mit 08/15 WLAN-Routern und Laptop und ein bischen Software von .. .. .. bestimmten Internetseiten. Nicht ohne Grund ist es sehr "unkomfortabel" am Flughagen einzuchecken, weil man mehrere Checks über sich ergehen lassen muss (=sicher).
Was übrigens LE Zertifikate angeht, bin ich wiederum nicht so bewandert, weil das nicht so in meinen Bereich fällt. Folgende Aussagen sind daher mit Vorsicht zu genießen
Prinzipiell sollte es so sein, dass ein Zertifikat für eine Domain ausgestellt wird und diese auch im Common Name nach außen hin zeigt. Wenn man nun also computerbase.de im Browser aufruft, der Webserver zwar ein gültiges, von einer
gemeinsamen offiziellen Zertifizierungsstelle signiertes, aber falsches Zertifikat zurückgibt (zB spiegel.de), spuckt der Browser einen Fehler aus, weil er eine MITM-Attacke vermutet - der Webserver ist also scheinbar nicht der, der er vorgibt zu sein (nämlich spiegel.de und eben nicht computerbase.de). Prinzipiell sollte es daher kein Problem sein, ein LE-Zertifikat auch lokal zu nutzen, wenn man einen lokalen DNS einsetzt. Der Browser stellt den DNS-Request zu blablubb.meinserver.dings.bums, bekommt eine lokale IP als Antwort, kontaktiert den Webserver unter der besagten lokalen IP und bekommt via https das passende, gültige Zertifikat zu blablubb.meinserver.dings.bums und ist zufrieden.
Allerdings kann ich nicht sagen wie genau der Prozess zur Generierung eines LE-Zertifikats abläuft, weil ich es offen gestanden noch nie ausprobiert habe. Was ich aber weiß ist, dass die LE-Zertifikate nur eine relativ kurze Gültigkeistsdauer haben (90 Tage, siehe
@spcqike) und somit regelmäßig erneuert werden müssen, wobei es da wohl einen Certbot gibt, der das im Hintergrund automatisch übernehmen kann.
Wie bereits angedeutet bewege ich mich diesbezüglich jedoch auf dünnem Eis und sollte ich mich an einem Punkt (oder mehreren
g) irren, bitte ich um Vergebung, aber auch um Korrektur!
