Synology SSL VPN Sicherheit?

[hightower997]

Wie sieht es mit der Sicherheit bei Synology SSL VPN aus?
Immerhin wird ja nur der Benutzername und das PW benötigt!! Kein Zertifikat kein Preshared Key?

 

[NasQ]

Einen PSK brauchst du nicht. Der PSK dient bei den meisten VPN Protokollen als symmetrischer Schlüssel für die Verbindung.
Hier wird SSL benutzt. Der Router selbst hat ein Zertifikat. Der Client benötigt scheinbar keinen.
Verschlüsselt und abgesichert ist die Verbindung schon über SSL.
Clients authentifizieren sich zwar "nur" mit Username/Passwort, aber die sind unabhängig von der Transportverschlüsselung.
Ich weiß, OpenVPN verwendet zusätzlich auch noch Client Zertifikate, was noch eine weitere Absicherungsebene hinzufügt.

Ach ja, benutzt BITTE nicht das OpenVPN weder auf der DS noch auf den Routern.
Wenn ich mir die Serverconfig ansehe kommt mir die Galle hoch. Bei OpenVPN haben sie auch die Notwendigkeit von Client Zertifikaten
deaktiviert. Ich meine JA, es IST für den DAU einfacher. Aber trotzdem unsicherer.

 

[Frogman]

...
Ach ja, benutzt BITTE nicht das OpenVPN weder auf der DS noch auf den Routern.
... Bei OpenVPN haben sie auch die Notwendigkeit von Client Zertifikaten
deaktiviert. Ich meine JA, es IST für den DAU einfacher. Aber trotzdem unsicherer.

Sorry, aber das ist ausgemachter Unsinn, die Implementierung aufgrund nichtaktivierter Client-Zertifikate warnend als unsicher zu deklarieren.

 

[NasQ]

Quatsch. Die Implementierung vom OpenVPN hab ich gar nicht kritisiert. Fakt ist aber, dass ich mich von jeder beliebigen Maschine anmelden kann, wenn ich Nutzername und Kennwort weiß. Im Normalfall bräuchte man halt auch Client Zertifikat und Key. Da fehlt dann eben ein Authentisierungsfaktor. Und das meine ich ist unsicherer als wenn man zusätzlich mit Zertifikaten arbeitet. Von: Die Implementierung ist unsicher hab ich gar nicht geredet. Die Verschlüsselung steht und fällt eh mit dem SERVER Zertifikat und das muss ja auf jeden Fall da sein.

Ich wollte auch nur die Konfiguration auf den Synology-Produkten anprangern. Nicht OpenVPN selbst. Falls das so rüber kam haben wir uns wohl falsch verstanden.

 

[whitbread]

VPN ohne Zertifikate bietet imho keinen Sicherheitsgewinn ggü. einer anders gearteten verschlüsselten Verbindung die mit user+passwort abgesichert ist. Zertifikatbasierte Authentifizierung bietet zusätzliche Sicherheit, wichtiger finde ich aber u.a. Punkt.

In den meisten Anwendungskonstellationen besteht keine Notwendigkeit, dass sich das gesamte www am login ausprobieren können muss.

 

[jahlives]

Ein gutes PW, das niemand kennt ist ziemlich sicher für VPN. Wenn man davon ausgeht dass jemand anderes das PW kennt und sich damit einloggen kann, muss man fairerweise auch voraussetzen, dass das Schlüsselmaterial kompromittiert ist. Dann ist es egal ob PW oder Cert verwendet wird.