Um mit einem OpenVPN Client eine sichere Verbindung in ein Netzwerk aufzubauen, ist ein OpenVPN Server auf der Gegenseite Voraussetzung. Wer auf sein eigenes Netzwerk zugreifen möchte, benötigt einen eigenen Server. Ein solcher Server kann z.B. auf einem Raspberry Pi laufen. Auf dem heimischen Router ist dann lediglich eine Portweiterleitung auf den Rasperry Pi erforderlich. Wer die zusätzliche Hardware für einen Server scheut, kann den OpenVPN Server direkt auf seinem Router betreiben. Dazu ist eine OpenSource Router Firmware wie OpenWRT oder DD-WRT notwendig.
Zertifikate für OpenVPN erzeugen
OpenVPN ist eine OpenSource Software zum Aufbau eines VPN (Virtual Private Network). Ein VPN Tunnel wird genutzt, um eine Punkt zu Punkt Verbindung zu verschlüsseln, damit der Datenverkehr von dritten nicht mitgelesen werden kann. Ein gutes Beispiel sind Public Hotspots. Jeder kann sich im Urlaub in einer Strandbar mit dem hiesigen WLAN verbinden, um seine Mails zu lesen oder seinen Kontostand abzufragen. Wer jedoch in solchen unverschlüsselten WLANs mit lauscht kann erst mal niemand sagen. Gehen wird also generell mal vom schlimmsten aus. Wird die Public Hotspot Verbindung jedoch nur für den Aufbau des VPN Tunnels verwendet, geht der komplette Traffic über diesen Tunnel und ist nicht mehr auswertbar (vorausgesetzt die privaten Schlüssel bleiben geheim).
Internet sharen (NAT) unter Hyper-V
Hyper-V unter Windows 10 bietet „Out of the Box“ keine Möglichkeit, eine Internetverbindung zwischen Host und Gast zu teilen, wie es z.B. unter VMware oder VirtualBox der Fall ist. Ist der Host jedoch über einen HotSpot mit Portalanmeldung oder UMTS/LTE eingewählt, wird es schwer, dem Gast eine eigene IP zur Verfügung zu stellen. Hier muss auf Windows Bordmittel zurückgegriffen werden, um die Internetverbindung zu teilen (NAT).
UAC auf Windows Server 2012 R2 deaktivieren
Microsoft hat das Verhalten der UAC in Windows Server 2012 R2 verändert. Um die UAC komplett zu deaktivieren, sind jetzt zwei Schritte erforderlich. Als erstes wird wie bereits bei Windows Server 2008 R2 die Benachrichtigungsstufe über die Systemsteuerung heruntergesetzt.
USB Stick mit TrueCrypt verschlüsseln
USB Sticks sind eine feine Sache. Sie brauchen kaum Platz und sind für kleines Geld zu bekommen. Allerdings haben die Sticks auch eine Eigenart. Sie gehen gerne mal verloren. Um die Daten vor unerwünschten Blicken zu schützen, ist es erforderlich diese verschlüsselt abzulegen. Möglichkeiten zu verschlüsseln gibt es einige. Jede hat gewisse Vor- und Nachteile. Daten per GPG zu verschlüsseln geht recht schnell, allerdings wird dann der private Schlüssel benötigt, um die Daten zu entschlüsseln. Dieser ist jedoch in der Regel nicht zur Hand, wenn er gerade unterwegs mal gebraucht wird. Vollverschlüsselung per Software ist auch nicht immer das Mittel der Wahl, da die Software auf dem Zielgerät möglicherweise nicht installiert ist. Ich nutze hierfür seit Jahren die OpenSource Software TrueCrypt. Über die Vertrauenswürdigkeit möchte ich hier jetzt nicht schreiben. Das wird vielleicht später mal in einem eigenen Post kommen, wenn die noch fehlenden Audits abgeschlossen sind.
MySQL Installation mit mysql_secure_installation absichern
Im Internet finden sich viele Anleitungen, wie unter Linux ein MySQL Datenbank Server zu installieren ist. Gerne wird MySQL auf Einplatinen Computern wie dem Raspberry Pi installiert, um dann zum Beispiel in den eigenen vier Wänden eine OwnCloud oder WordPress Installation zu hosten. Dezentralisierung von Diensten und Daten ist generell eine feine Sache. Allerdings sollte man auch bedenken, dass das System im Internet erreichbar ist und der Betreiber des Systems auch die Verantwortung darüber trägt. Eine Datenbank im Internet bietet immer eine Angriffsfläche, die – soweit es möglich ist – minimiert werden sollte. Dazu gehören eine ordentliche Konfiguration, starke Passwörter sowie regelmässige Updates. Für eine erste Grundkonfiguration liefert MySQL den Befehl „mysql_secure_installation„, welcher leider in den wenigsten Anleitungen erwähnt wird.
„MySQL Installation mit mysql_secure_installation absichern“ weiterlesen
SSL mit Perfect Forward Secrecy unter nginx
SSL ist in den letzten Tagen mal wieder in aller Munde. Dank des Heartbleed Bugs in OpenSSL ist es Angreifern möglich, entschlüsselte Informationen oder sogar den privaten Schlüssel des Zertifikats aus dem Speicher des Webservers zu ziehen, ohne dabei Spuren zu hinterlassen. Sollte der private Schlüssel in fremde Hände gelangen, lässt sich damit einiges an Schindluder treiben. Eine Möglichkeit wäre, bereits aufgezeichnete, jedoch verschlüsselte Kommunikation, nachträglich zu entschlüsseln. Um das zu verhindern, gibt es eine Funktion die sich „Perfect Forward Secrecy“ nennt. PFS nutzt nicht das Public Key Verfahren um einen Sitzungsschlüssel zu erzeugen. Für PFS wird das Diffie-Hellman Verfahren eingesetzt. Hier wird von beiden Seiten (Client/Server) ein gemeinsamer Sitzungsschlüssel erzeugt. Wer’s gern etwas genauer wissen will, kann sich folgenden Wiki Artikel durchlesen Klick
Und los gehts…
Lange hatte ich es schon vor, endlich hab ich es mal getan 😉 Mein privates Blog, in dem sich alles um IT und Technik Themen drehen soll. Ich werde soweit möglich im max. 14 Tage Rhythmus neue Beiträge online zu stellen.
Have fun…