https Verbindung auf QNAP-NAS?

[Skape]

Hallo zusammen,

ich habe mir vor kurzem ein QNAP TS-419P II gekauft und dieses eingerichtet. Momentan befindet sich die Version 4.3.3 auf dem NAS. Das NAS soll nur im Heimnetz zugänglich sein, trotzdem nervt mich, dass ich keine https Verbindung zu dem NAS aufbauen kann.

Ich habe unter Anleitungen aus dem Netz und OpenSSL bereits einige Versuche gestartet ein eigenes Zertifikat zu erstellen. Leider scheint es damit trotzdem nicht zu funktionieren. Ich glaube allerdings, dass ich laut Anleitung alles richtig gemacht habe. Allerdings sind die Anleitungen mittlerweile auch schon etwas älter, vielleicht liegt es ja daran.

Ich hoffe ihr könnt mir bei meinem Problem behilflich sein.

PS: Ich bin total unerfahren in Sachen NAS / Netzwerk. Daher bitte für Dummies erklären

Beste Grüße

 

[dimonw]

Du müsstest schon einen SSLZertifikat kaufen oder z.B. kostenlos von letsencrypt holen und alle 3 Monate wieder austauschen.

Stört dich die Meldung, dass "Die Verbindung zu dieser Webseite ist nicht sicher"?

 

[Skape]

Du müsstest schon einen SSLZertifikat kaufen oder z.B. kostenlos von letsencrypt holen und alle 3 Monate wieder austauschen.

Stört dich die Meldung, dass "Die Verbindung zu dieser Webseite ist nicht sicher"?

Danke für die Antwort. Die Anleitungen bzgl. eines selbsterstellten Zertifikat suggerieren eig. dass es damit auch gehen soll. Aber evtl. ist es, wie bereits erwähnt, schon veraltet.

Alle drei Monate erneuern find ich irgendwie ziemlich nervig. Mich stört die Meldung der unsicheren Verbindung irgendwie, aber wahrscheinlich lebe ich dann einfach damit.

Besten Gruß

 

[Eye-Q]

Äh, Moment, was heißt "ich kann keine https-Verbindung aufbauen"? Geht es hier darum, dass die Website gar nicht lädt oder darum, dass der Browser anzeigt, dass dem Zertifikat nicht vertraut wird? Ich glaube, ich kenne die Antwort, möchte das aber bestätigt wissen, bevor ich jetzt das Erklären anfange.

 

[Ceiber3]

Https geht bei Qnap ohne irgendwelche änderungen. Da es ein selbstsigniertes Zertifikat ist, wird es eh immer als unsicher erkannt.
Man brauch kein Zertifikat kaufen, ist ja eh nur Heimnetzwerk. Einfach nur https in der Systemsteuerung aktivieren.

 

[Skape]

Äh, Moment, was heißt "ich kann keine https-Verbindung aufbauen"? Geht es hier darum, dass die Website gar nicht lädt oder darum, dass der Browser anzeigt, dass dem Zertifikat nicht vertraut wird? Ich glaube, ich kenne die Antwort, möchte das aber bestätigt wissen, bevor ich jetzt das Erklären anfange.

Die Webseite lädt, wird aber als unsicher gekennzeichnet.

Https geht bei Qnap ohne irgendwelche änderungen. Da es ein selbstsigniertes Zertifikat ist, wird es eh immer als unsicher erkannt.
Man brauch kein Zertifikat kaufen, ist ja eh nur Heimnetzwerk. Einfach nur https in der Systemsteuerung aktivieren.

Ok, https habe ich bereits in der Systemsteuerung aktiviert. Die unsichere Meldung wird aber trotzdem auftauchen sowie ich es verstehe, richtig?

 

[underclocker2k4]

Die unsichere Meldung wird aber trotzdem auftauchen sowie ich es verstehe, richtig?

Natürlich, wie sollte es auch anders sein.

HTTPs hat zwei Ansätze
1. Verschlüsselung und Datenintegrität
2. Authentifizierung

Passt einer der Punkte nicht, ist die Webseite "unsicher". Wobei sich die Anzeige in aller Regel auf 2. bezieht.
1. Ist in der Regel immer gegeben. Sprich, die Webseite ist schon verschlüsselt bzw. der Browser überprüft auch die Integrität.

Bei 2. wird es halt speziell. Damit man sicher sagen, dass der, der die Webseite ausliefert auch der ist, für die er sich ausgibt, braucht es eine 3. Stelle, die man fragen kann, ob das auch so ist, wie es ist.
Der Zertifikat alleine ist nicht hinreichend.

Wenn dir jemand einen Tigerentdenclub-Ausweis hinhält und du ihn als valide ansiehst, dann glaubst du ihm das, dass er echt ist.
Aber wie sichert man sich ab?
Genau, man fragt beim Tigerentenclub nach und lässt sich das bestätigen. In dem Moment kann man annehmen das alle OK ist.
Und im Umfeld der Zertifikate ist der Tigerentenclub die CA (Certificate Authority).

So und nun wird es spannend.
Die CA, also die zertifikatsausliefernde Stelle, muss diesen Dienst auch anbieten.
Allerdings ist die Erzeugung eines Zertifikates mit ein paar Zeilen Quellcode erledigt und das bedeutet nicht, dass man eine echte CA ist.
Man ist nen Zertifikatserzeuger, nichts weiter. Damit kann man dann 1. zum Teil umsetzen aber eben 2. nicht.

Sprich also, willst du die Meldung weghaben, dann musst du entweder ein CA-Zertifikat haben, was idR Geld kostet, da das eben ein Dienst als Service ist.
(es gibt aber auch kostenlose Varianten)

Und jetzt ist die Frage, was denn der große Masterplan ist.
Glaubst du, das dein NAS, was auf der Webseite angezeigt wird, nicht dein NAS ist und daher dein NAS an eine CA hängen willst?

 

[Skape]

Danke für die Antwort und die Erklärung. Das macht natürlich alles Sinn und zu deiner letzten Frage: Nein, mich hatte nur die Meldung gestört. Ich war nach kurzem googlen und aufgrund der gefundenen Anleitungen im irrglauben, dass man diese Meldung durch Erstellung eines eigenen Zertifikats relativ leicht weg bekommt. Nun weiß ich, dass es nicht so ist. Deswegen bleibt es so wie es ist, denn ich nutze das NAS sowieso nur im eigenen Netzwerk.

Danke und besten Gruß

 

[katzenhai]

Wenn du das Zertifikat deiner CA auf deinem Client hinterlegst wäre dein Browser auch bei selbsterstellten Zertifikaten grün. Das ganze geht mit Open SSL an der Kommandozeile oder für Mausschubser z.B. mit XCA. Eine Anleitung gibt es z.B. bei https://www.libe.net/XCA .

 

[passat3233]

Was das selbstsignierte Zertifikat und die Meldung angeht:
Einfach eine Ausnahme hinzufügen, dann kommt die Meldung nicht mehr.
Dem Zertifikat wird aber trotzdem nicht vertraut, wie man in der Adresszeile des Browers sehen kann (beim FF z.B. sieht man ein Schloß, wird dem Zertifikat nicht vertraut, ist das Schloß rot durchgestrichen).

 

[gea]

Sicheres https benötigt drei Teilnehmer
1. Webserver
2. Zertifizierungsdienst für Schlüssel
3. eigener Browser.

Die Verbindung ist sicher da es keine Möglichkeit gibt den Schlüsselaustausch zwischen Webserver und Zertifizierungsdienst/Schlüssel zu beeinflussen oder mitzulesen (außer für US Geheimdienst etc die Zugriff auf diese Daten haben). Bei selbstsignierten Zertifikaten ist Webserver und Zertifizierungsdienst/Schlüssel auf dem gleichen Server. Durch eine "Man in the middle" Attacke bei dem der Datenverkehr zwischen Client und Server von einem Angreifer kontrolliert wird, besteht die Möglichkeit den Datenverkehr zu entschlüsseln und mitzulesen. Deshalb ist ein selbst signiertes Zertifikat immer unsicher.

 

[passat3233]

Das Zertifikat braucht man beim NAS ja auch nur für die Weboberfläche, falls man https nutzt und sftp.
Ich würde beim NAS aber mal schauen, welche SMB-Version da aktiv ist.
SMBv1 würde ich dringenst abschalten, das ist unsicher.