Ich nutze letsencrypt, um mein Synology NAS ein gültiges Zertifikat zu verpassen. Mein NAS ist über eine Portfreigabe und eine dynamische IP Adresse im Internet erreichbar. Ich habe dafür aber einen ganze speziellen Port eingerichtet unter dem das NAS von außen erreichbar ist.

Normalerweise erneuert das NAS ein letsencrypt Zertifikat automatisch. Allerdings geht das nur, wenn Port 80 komplett von der Firewall an das NAS durchgereicht wird, da die Verifikation von letsencrypt das so erwartet. Ich möchte aber nicht die ganze Zeit Port 80 offen durchreichen.

Wer Signal auf dem Smartphone als Messenger nutzt, kann nun auch endlich auch auf dem Desktop chatten: Signal startet mit der Chrome-App in die Open-Beta.

WhatsApp hat gestern verkündet, dass nun alle Nachrichten und Telefongespräche Ende-zu-Ende verschlüsselt werden. Das ist ein ziemlich beeindruckender und wichtiger Schritt, da WhatsApp in der Vergangenheit oft mit Sicherheitsproblemen aufgefallen ist.

WhatsApp hat dabei mit Open Whisper Systems zusammen gearbeitet, die sich im Crypto Messenger Umfeld mit der App Signal (ehem. TextSecure) einen großen Namen gemacht haben.

Details zur Funktionsweiße der Crypto finden sich im Security Whitepaper von WhatsApp.

Ist jetzt alles gut?

Es gibt ein paar Punkte, die man in all der Euphorie nicht vergessen sollte:

Anfang letzten Jahres habe ich für meine Domains TLS aktiviert. Die Generierung der nötigen Zertifikate war damals wirklich nicht einfach. Es gab damals schon Aussicht auf Besserung: Mit Let’s Encrypt sollte alles besser werden.

Nun ist Let’s Encrypt endlich da und auch bei den Ubernauten verfügbar. Ich habe heute ein paar freie Minuten genutzt und meine Zertifikate auf Let’s Encrypt umgestellt. Das war wirklich sehr einfach und ich kann nur jedem empfehlen das auch zu tun!

Ich habe schon viele Geschichten über die Einrichtung von HTTPS gehört: “Das ist sündhaft teuer!” oder “Das ist ziemlich komplex und schwierig einzurichten!”

Das Problem: Ganz Unrecht haben sie nicht. Das Ergebnis: Viele Webseiten sind nur via HTTP erreichbar. Von Webseiten, die in irgendeiner Form einen Login bieten, möchte ich gar nicht sprechen - hier ist fehlendes TLS unentschuldbar. Dennoch ist es auch für Webseiten, die nur Content anbieten sinnvoll alle Verbindungen über TLS abzuwickeln. So lassen sich übermittelte Daten vor den Augen Dritter schützen: Sowohl vor Schnüffelei als auch vor Manipulation.