Verständnisfrage zu Zertifikaten: dyn. DNS-Auflösung und zertifizierte Hostnames

[b1tchnow]

Servus,

ich versuche gerade meine Diskstation nach außen rein über SSL-gesicherte Kommunikation verwendbar zu machen. Dabei kam natürlich auch die Frage nach Verwendung von Zertifikaten auf. Ich hole mal kurz etwas aus:

Ein Zertifikat stellt zum einen die Identität des Servers sicher (Der Client erkennt anhand des Zertifikats, dass der Server der ist, für den er sich ausgibt?) und ermöglicht zum anderen die Verschlüsselung auf Basis des Zertifikats zwischen Client und Server. Letzeteres geht auch ohne Zertifikat. Richtig?

Gerade der erste Punkt macht mir gedanklich Probleme, denn wie komme ich nun an so ein Zertifikat, dass mein Heimnetz und die dabei vorliegende Konfiguration ordentlich zertifiziert?

Ich möchte keine 50€+ für ein "echtes" Zertifikat ausgeben und bin so auf startssl.com gestoßen, welche umsonst Class-1-Zertifikate erstellen. Und da geht das Dilemma los, denn...

... ich habe folgende Konfiguration vorliegen (die Hostnamen sind fiktiv, aber der grundsätzliche Aufbau stimmt!):

1. Ich habe eine Domain bei 1und1: meine-domain.de
2. Ich habe mir bei startssl.com ein Zertifikat für "meine-domain.de" und "mein-server.meine-domain.de" erstellt.
3. Ich habe bei no-ip.com eine dynamische Adresse registriert: "meine-ds.noip.me". Diese ist in der Fritz!Box konfiguriert und funktioniert.
4. Ich habe bei 1und1 konfiguriert, dass meine-domain.de auf einen Webspace zeigt und einen CNAME-Eintrag in der DSN-Konfiguration erzeugt, der auf "meine-ds.noip.me" zeigt.

3. und 4. vertragen sich nun überhaupt nicht mit meinem Zertifikat, da ja der Hostname des Zertifikats (meine-domain.de) nicht mit dem Servernamen (meine-ds.noip.me) übereinstimmt und damit wird der Zweck des Zertifikats ja völlig unterwandert. Ich kann aber bei startssl.com die Domain "meine-ds.noip.me" nicht zertifizieren lassen, da ich die Domain "noip.me" ja natürlich nicht als "meine" Domain verifizieren kann.

Natürlich kann ich eine Ausnahme hinzufügen, aber dann kann ich mir den ganzen Kladerabatsch mit Zertifkatserstellung auch sparen und gleich ein Self-Signed-Zertifikat verwenden, dass ähnlich sinnfrei ist.

Daher meine Fragen:

Welche Vorteile hat ein "echtes" Zertifikat?
Geht das bei der von mir vorgenommenen Konfiguration überhaupt über 1-und-1-Weiterleitung auf dynamischen IP-Service?
Wie macht ihr das?

P. S. Mir geht es rein um die Zertifizierung. Es funktioniert schon alles soweit. Ich erreiche meine DS von außen, VPN funktioniert ebenalls.

 

[ottosykora]

ein 'echtes' Zertifikat ist von einer echten Certification Authority (CA) unterschrieben und deren Root Zertifikat befindet sich in der Regel bereits in deinem Browser oder Betriebssystem. Es kann also nachvollzogn werden dass so ein Zertifikat echt ist. Weiter kann (muss nicht) die Software eine Anfrage bei einem Server der CA machen um zu schauen ob das Zertifikat nicht etwa gesperrt wurde oder sonst wie für ungültig erklärt wurde.

Dynamische DNS Domains können keine Zertifikate haben.

 

[b1tchnow]

Danke Dir, da gingen meine Überlegungen schon in die richtige Richtung.

Macht es dann einen Unterschied, ob ich mir bei startssl.com ein Class-1-Zertifikat erstellt oder einfach ein Self-Signed-Zertifikat verwende, wenn eh nur ich (im Idealfall... lol) auf mein NAS zugreife?

 

[ottosykora]

na ja, also wenn du eine richtige Domain bei einem Hoster hast ( 1&1) dann kannst du natürlich einen richtigen Cert dafür machen, die Domain gehört dir und dein Server wäre unter der Domain erreichbar, dann wäre es dann eben ein 'echtes' Cert.

Bei den DynDNS geht es so nicht, die CA weiss nicht wem die Adresse wirklich gehört, kann es also nicht zertifizieren. Technisch würde es wahrscheinlich gehen, aber die CA müssen schon gewisse mindest Regeln befolgen, sie werden jetzt schon überall durch den Kakao gezogen.

Also wenn ein Zertifikat nicht nachgeprüft werden kann und die Domain nicht stimmt, dann kann man mit dem Startssl auch nicht mehr anfangen. Den Rootcert findet man dann schon in den Browsern, nur stimmt dann der Rest nicht. Startssl wird kaum ein DynDNS Domain anerkennen und dafür ein Cert ausstellen.

Also dann ist man mit einem sefsign auch gut bedient.

http://www.synology-forum.de/showth...iges-Zertifikat-erstellen&p=420381#post420381

Den selfsig kann man dann auf die DynDNS ausstellen und wenn man es gar in den Browser importiert (den 'CA' Schlüssel), dann erscheint es alles sehr echt.

 

[b1tchnow]

Danke, das hilft mir beim Verständnis sehr weiter.

Ich könnte mir also für meine echten Domains wirkliche Zertifikate mit root-Zertifizierung holen, wenn ich das wollen würde, was ich aber im Moment denke ich nicht brauche.

Und für mein DS kann ich ein Fake-Zertifikat selbst erstellen, dass dem Browser, wenn ich es dem auch beibringe, glaubhaft versichert, die dyn. DNS-Adresse sei zertifiziert.

Danke für den Link!

 

[ottosykora]

Danke, das hilft mir beim Verständnis sehr weiter.

Ich könnte mir also für meine echten Domains wirkliche Zertifikate mit root-Zertifizierung holen, wenn ich das wollen würde, was ich aber im Moment denke ich nicht brauche.

Und für mein DS kann ich ein Fake-Zertifikat selbst erstellen, dass dem Browser, wenn ich es dem auch beibringe, glaubhaft versichert, die dyn. DNS-Adresse sei zertifiziert.

Danke für den Link!

alles korrekt
der Selfsig ist eigentlich von dir persönlich zertifiziert während dem du es erstellst. Es wird auch ein Zertifikat einer CA erstellt dabei, der oberste Chef davon bist aber wieder du.
Also wenn du dir selber vertraust, dann ist alles perfekt. Und wenn jemand anderes den Server Cert und den Cert der CA von dir in seinem Browser freiwillig einfügt, dann vertraut er dir auch.

Nur eines geht nicht mit den Selfsig, die sind nicht von Anfang an als vertrauenswürdig angesehen, weil in den Browsern und OS kein CA bekannt ist welches die Echtheit bestätigt.
Entweder muss der Besucher dann eine Ausnahme bestätigen, dann hat der Besucher des Servers selber entschieden ob es echt ist oder nicht und kann den Zertifikat auch anschauen, oder eben nicht, dann kann er den Server nicht besuchen mit ssl oder eben den Zertifikat deiner eigenen CA in die Vertrauenswürdigen Zertifizierungsstellen importieren, dann ist alles nachfolgende damit auch zertifiziert.

Aber der Selfsig Cert passt dann zu der angeblichen Domain zu mindestens, also zu deiner DynDNS und das sagt schon etwas aus.