Hallo,
habe heute zufällig bemerkt, dass ich meinen R1011 trotz auf WAN Seite deaktiviertem HTTPS via HTTPS ansprechen kann. Jedoch lande ich nach der Zertifikatsabfrage auf einer Error Seite. Logisch, HTTPS ist ja deaktiviert. Nur wieso zeigt der Lancom überhaupt eine Seite an. Ich vermute das hängt mit dem aktivierten SSL-Pathfinder zusammen. Finde es jedoch trotzdem schlecht dass somit jeder sieht das hier ein Lancom hängt.
Ist in meinen Augen doch fast ne kleine Sicherheitslücke...
Ist das so bekannt und gewollt, oder soll das eigentlich nicht sein?
Lege ich den HTTPS Port des Routers auf einen anderen Port um, erscheint diese Seite wie gewünscht nicht.
Screenshot dieser dubiosen Error Seite befindet sich im Anhang.
Ist dies technisch echt nicht anders zu lösen? Könnte man dann nicht wenigstens eine anonyme weiße Seite anzeigen, ohne Lancom Logo und Modell?
Außerdem erscheint Port 443 nach außen offen, muss das sein? Ist bei Port 500 ja auch nicht der Fall.
Gruß
shorty
SSL-Pathfinder verhindert deaktivieren des HTTPS Server auf
Moderator: Lancom-Systems Moderatoren
-
shorty_0808
- Beiträge: 12
- Registriert: 17 Mär 2010, 18:14
SSL-Pathfinder verhindert deaktivieren des HTTPS Server auf
Du hast keine ausreichende Berechtigung, um die Dateianhänge dieses Beitrags anzusehen.
Hi shorty_0808
was soll das LANCOM da machen? Der Pathfinder lauscht wie das HTTPS auf den Port 443. Daher muß das LANCOM erstmal jede Session auf diesem Port annehmen und anhand der übertragenen Daten feststellen, daß du nicht den Pathfinder ansprechen wolltest - hier bleibt dann bei deaktivierter HTTPS-Konfiguration nur eine Fehlermeldung. Wenn du willst, daß der Port wirklich zu ist, mußt du neben der HTTPS-Config auch den Pathfinder abschalten.
Selbst wenn das LANCOM nach der übertragung der Anfrage von deinem Browser die Session einfach nur ohne Fehlermeldung schließen würde, wäre dort ein offener Port, der auch von jedem Portscanner angezeigt wird. Abgesehen davon reagieren Browser auf soetwas sehr allergisch und poppen dann oftmals einen Fehlerdialog hoch, den du erstmal abnicken mußt - da ist eine konforme Fehlermeldung in jedem Fall besser
Gruß
Backslash
was soll das LANCOM da machen? Der Pathfinder lauscht wie das HTTPS auf den Port 443. Daher muß das LANCOM erstmal jede Session auf diesem Port annehmen und anhand der übertragenen Daten feststellen, daß du nicht den Pathfinder ansprechen wolltest - hier bleibt dann bei deaktivierter HTTPS-Konfiguration nur eine Fehlermeldung. Wenn du willst, daß der Port wirklich zu ist, mußt du neben der HTTPS-Config auch den Pathfinder abschalten.
Selbst wenn das LANCOM nach der übertragung der Anfrage von deinem Browser die Session einfach nur ohne Fehlermeldung schließen würde, wäre dort ein offener Port, der auch von jedem Portscanner angezeigt wird. Abgesehen davon reagieren Browser auf soetwas sehr allergisch und poppen dann oftmals einen Fehlerdialog hoch, den du erstmal abnicken mußt - da ist eine konforme Fehlermeldung in jedem Fall besser
Gruß
Backslash
-
shorty_0808
- Beiträge: 12
- Registriert: 17 Mär 2010, 18:14
Hallo backslash,
erstmal danke für deine schnelle Antwort.
Soweit habe ich das auch schon verstanden, aber wieso diese Error Page und nicht etwas anonymer, also kein riesen Lancom Logo und sogar Modellbezeichnung...
Halt einfach nur schlicht ne Error Page die keine Aussage zulässt, welches Gerät sich dort befindent...
Mal bitte ganz ehrlich, ist der Pathfinder rein theoretisch eine Sicherheitslücke. Also jetzt nicht unbedingt ein Sicherheitsproblem, sondern eher eine Schwachstelle.
Danke!
Gruß
shorty
erstmal danke für deine schnelle Antwort.
Soweit habe ich das auch schon verstanden, aber wieso diese Error Page und nicht etwas anonymer, also kein riesen Lancom Logo und sogar Modellbezeichnung...
Halt einfach nur schlicht ne Error Page die keine Aussage zulässt, welches Gerät sich dort befindent...
Mal bitte ganz ehrlich, ist der Pathfinder rein theoretisch eine Sicherheitslücke. Also jetzt nicht unbedingt ein Sicherheitsproblem, sondern eher eine Schwachstelle.
Danke!
Gruß
shorty
Hi shorty_0808
Gruß
Backlsash
ganz ehrlich: jeder offene Port kann eine Sicherheitslücke darstellen, wenn in der Implementation des daran hängenden Dienstes ein Fehler gemacht wurde...Mal bitte ganz ehrlich, ist der Pathfinder rein theoretisch eine Sicherheitslücke. Also jetzt nicht unbedingt ein Sicherheitsproblem, sondern eher eine Schwachstelle.
Gruß
Backlsash