Das Thema wurde sicher schon mal in ähnlicher weise ausgekotzt. Firefox macht aus jedem expliziten http:// ein https://. Ganz gleich, ob das nun eine lokale Adresse ist oder eben das gefährliche WWW. Die Idee dahinter ist mir natürlich klar. Im Internet will ich https:// und auch weniger technisch versierte Personen sollten in den Genuss von Verschlüsselung kommen. Aber im lokalen Netz?

Ich habe einen kleinen Pi laufen, auf dem ich eine kleine, feine Webseite für mich betreibe (http://[hostname]/). Einfach nur ein privates lokales Projekt, an dem ich sowohl für Desktop, als auch für die mobile Ansicht vor mich hin schreibe. Und von Firefox wird mir in meinem eigenen “sicheren” Netzwerk obtruiert, dass ich diese Spielerei verschlüssle. Es könnte ja meine Katze bei HTTP mitlesen. Oder noch schlimmer irgendwelche Gäste, die erst mal ihr Notebook mit Matrix- und Hackerman-Aufkleber auf den Küchentisch stellen und Wireshark anschmeißen, ehe sie sich mit mir unterhalten wollen?

Klar, mit unnötig komplizierten Kniffs (about:config) kann man die Nutzung von http:// erlauben, aber Firefox for Android scheint es einfach so zu machen, wie es gerade am liebsten passt. Parallelen zur Mondstellung? Abhängigkeiten zum Wetter? Man weiß es nicht. Eine Konfiguration neben “HTTPS Only” (deaktiviert!) gibt es nicht. Sollte es nicht möglich sein, einen Hostname auf Ursprung (LAN/WAN) zu prüfen?

Ich komme dann also wieder, wenn Firefox an meinem Self-Signed Certificate scheitert…

tl;dr Firefox zwingt zu HTTPS weshalb ich auf privaten Intranet-Webseiten zu self-signed TLS/SSL wechseln muss, worauf ich keine Lust habe

Edit Ihr habt ja Recht, meine Spielereien sollten sich in die ‘echte’ Welt integrieren können. Hacks, damit sie eine Sonderrolle spielen, sind also auch Quatsch.

“Kommt maximal auf die Todo.” hat mich kalt erwischt, dort steht SSL schon eine Weile ;-) Ich habe nun ein bisschen herum schrauben müssen, komische Fehler erhalten und auch irgendwelche kruden Dinge mit Android und exportierten Zertifikaten gemacht. Aber das Thema ist nun durch, so unnötig ich es immer noch auch finden mag

  • Scrath@feddit.de
    link
    fedilink
    arrow-up
    2
    ·
    1 year ago

    Thema self signed Zertifikate: Kennst du da zufällig nen guten Guide um sowas einzurichten? Ich habe einige Anwendung lokal in meinem Heimnetz laufen die ich gerne über https erreichen möchte

    • Critical Silence@feddit.deOP
      link
      fedilink
      arrow-up
      1
      ·
      edit-2
      1 year ago

      Ich habe einen Apache2 mit CodeIgniter laufen. Ich habe erst mal nach “Apache2 SSL self signed” gesucht, hab aber dann mit einem der Beiträge von How to Geek die eigenartige Warnung im Log bekommen

      [ssl:warn] [pid 1060] AH01906: localhost:443:0 server certificate is a CA certificate (BasicConstraints: CA == TRUE !?)

      Das Problem ist dabei wohl, dass OpenSSL bei den meisten Tutorials CRS oder root-CA-ähnliche Zertifikate ausstellt (siehe StackOverflow)

      Hab das DH-Zeug von HowToGeek behalten und ein neues Zertifikat mit dem aus StackOverflow gemacht. Dann noch bisschen an der .htaccess herum schrauben müssen und das Zertifikat für Android exportieren, aber jetzt ist (vorerst) Ruhe.