[https://fritz.box] verbinding configureren AVM/XS4ALL taak?

[digidokter.net]

Zoals mijn naam mijn mindset al weer geeft ben ik paranoia m.b.t. URL-verbindingen: Ik gebruik apps als noscipt, adblockers, Javascript blokkeren, popups blokkeren etc...

Echter nu mijn OS gecrashed was en ik weer mijn systeem opnieuw moest installeren/configureren. Kreeg ik een melding dat de verbinding niet SSL - beveiligd was! Terwijl ik al jaren met een beveiligde verbindingen naar belangelijke sites/apparaten ga. Sterker nog ik heb ook een VPN. Maar nu kreeg ik in zowel ff als chrome de melding dat de verbinding niet veilig was.

Omdat ik de SSL verbinding die ik een paar dagen geleden wel had weer wilde herstellen, belde ik XS4all, met de vraag of ze mij daarbij konden assisteren? De eerste medewerker zei me dat zo'n SSL verbinding met de fritz.box niet bestaat en het ALTIJD een onbeveiligde verbinding was. Ik had echter mijn ervaring met wel een SLL verbinding op de Fritz.box en daar raakte we over in discussie. Dus ging hij ruggespraak houden met een collega, nadat ik met die technisch 'beter' geschoolde medewerker ook in een discussie kwam, Begon ik me af te vragen, wat voor service ze eigenlijk leveren? Hij begon me een heel verhaal op te hangen over de wedloop van ff, chrome en andere browsers, die allemaal de veiligste browser ter wereld willen leveren en de lat heel hoog hebben gelegd. Daardoor zouden klanten zoals mij het 'slachtoffer' zijn en die meldingen van 'onveilige verbinding' dus krijgen. Er was volgens hem niets aan te doen?! Ik legde hem uit dat ik alleen een nieuw OS heb geïnstalleerd met browsers met laatste updates. En dat het probleem van een onveilige verbinding niet aan valse positieve lag, omdat ik twee dagen gelden wel een SSL verbinding met mijn fritzbox had!

Na veel speurwerk op internet en kennis bijspijkeren over een SSL verbinding maken met een fritz.box, kwam ik erachter dat elke modem een standaard certificaat heeft. Nu wordt dit standaard certificaat niet meer automatisch geïnstalleerd, maar moet je dat nu handmatig doen via internet/permit access/fritzboxservices...
Je het certificaat moet downloaden en importeren in de browsers! Zodat die weten dat het apparaat gecertificeerd is en ook geen meldingen meer maken!

Mijn vraag aan jullie tweakers is deze informatie/vaardigheid standaard protocol in ICT of zit er meer achter?
Is het verantwoordelijkheid van fabrikant of internetprovider je met deze configuratie te helpen als klant??
Want door beide voor je van kastje naar muur gestuurd! Tot grote frustratie van mij!

Het lijkt me een basisvaardigheid als je service verleend je eerst zorgt voor een veilige verbinding bij de klant tussen zijn computers en de routers? Daarna als de fundering ligt kan de het huis bouwen en de router verder configureren etc (filters, wachtwoorden, DNS etc)

Of zie ik als noob dingen over het hoofd en is het helemaal niet zo simpel?

Graag heldere uitleg over dit fenomeen....een ssl verbinding tussen computer en modem...is het een vereiste of schijnveiligheid?!!

[Señor Sjon]

Sowieso is dit tech in General Chat, dus dit topic blijft hier niet. Ik snap ook niet zo goed waar je heen wilt, dus ik hou het maar op beveiliging, tpl en netwerken had ook nog gekund.


TL >> BV

[digidokter.net]

Señor Sjon schreef op maandag 4 september 2017 @ 00:09:
Sowieso is dit tech in General Chat, dus dit topic blijft hier niet. Ik snap ook niet zo goed waar je heen wilt, dus ik hou het maar op beveiliging, tpl en netwerken had ook nog gekund.


[Mbr]TL >> BV[/]

Ik wil met dit topic duidelijkheid vragen waar de grenzen en verantwoordelijkheden van AVM of Xs4all en dergelijke liggen met betrekking tot service naar klanten toe?

[GlowMouse]

Die melding is normaal. Een SSL-certificaat geeft altijd een waarschuwing tenzij hij is ondertekend door een SSL-boer. Die SSL-instanties (letsencrypt, geotrust, verisign, etc) ondertekenen alleen certificaten voor domeinen die via het internet bereikbaar zijn. Fritz.box is een lokaal domein.

Het lijkt me een basisvaardigheid als je service verleendt je eerst zorgt voor een veilige verbinding bij de klant tussen zijn computers en de routers

Het SSL-certificaat zorgt alleen voor een beveiligde verbinding naar de webinterface van de router. Als je vreest voor een MITM-attack, wikkel de router dan in aluminiumfolie (om wifi te blokkeren) en sluit alleen je eigen pc aan. Vervolgens accepteer je het certificaat dat je dan ziet, en vervolgens ben je weer veilig.

[Jester-NL]

GlowMouse schreef op maandag 4 september 2017 @ 00:34:
Die melding is normaal. Een SSL-certificaat geeft altijd een waarschuwing tenzij hij is ondertekend door een SSL-boer. Die SSL-instanties (letsencrypt, geotrust, verisign, etc) ondertekenen alleen certificaten voor domeinen die via het internet bereikbaar zijn. Fritz.box is een lokaal domein.

[...]

Het SSL-certificaat zorgt alleen voor een beveiligde verbinding naar de webinterface van de router. Als je vreest voor een MITM-attack, wikkel de router dan in aluminiumfolie (om wifi te blokkeren) en sluit alleen je eigen pc aan. Vervolgens accepteer je het certificaat dat je dan ziet, en vervolgens ben je weer veilig.

Dit dus...
Het is niet mogelijk om een geldig certificaat van een grote naam op fritz.box te krijgen. En voor wat betreft die veiligheid: als het goed is, is de webinterface van je router van buitenaf niet te bereiken. Dat wil zeggen dat - als er van de binnenkant iets gebeurd, dat van een van de apparaten in jouw netwerk gebeurd. Daar gaat SSL geen ruk aan verhelpen.

[F_J_K]

paranoia68 schreef op zondag 3 september 2017 @ 22:16:
Echter nu mijn OS gecrashed was en ik weer mijn systeem opnieuw moest installeren/configureren. Kreeg ik een melding dat de verbinding niet SSL - beveiligd was! Terwijl ik al jaren met een beveiligde verbindingen naar belangelijke sites/apparaten ga.

Voor de zekerheid: we hebben het alleen over het bereiken van de beheer-interface van de fritzbox zelf die je bereikt via https://fritz.box? Dus niet de verbinding naar https://Tweakers.net oid.

Best kans dat je toentertijd al eens het certificaat hebt geïnstalleerd. Dat wil je nu ook weer eenmalig doen: alleen jouw router mag herkend worden als je naar https://fritz.box gaat. En dit is precies hoe het moet gaan. Immers moet de browser 'piepen' als een ANDERE site de router nadoet op dezelfde generieke URL https://fritz.box (bijvoorbeeld doordat de DNS-server is veranderd).

En inderdaad: ik mag hopen dat de fritzbox alleen vanuit het eigen netwerk benaderbaar is. Dan is SSL op de fritzbox dus alleen relevant als je bang bent dat op je eigen wifi netwerk wordt afgeluisterd.

offtopic:
De aandacht voor privacy begrijp ik. Ik zie dat je adblockers hebt. Maar dat je ook gebruik maakt van onze site. Overweeg een https://tweakers.net/abonnementen - wel de lusten van Tweakersbezoek, niet de lasten van ads.

[ Voor 8% gewijzigd door F_J_K op 04-09-2017 09:26 ]

[digidokter.net]

GlowMouse schreef op maandag 4 september 2017 @ 00:34:
Die melding is normaal. Een SSL-certificaat geeft altijd een waarschuwing tenzij hij is ondertekend door een SSL-boer. Die SSL-instanties (letsencrypt, geotrust, verisign, etc) ondertekenen alleen certificaten voor domeinen die via het internet bereikbaar zijn. Fritz.box is een lokaal domein.

[...]

Het SSL-certificaat zorgt alleen voor een beveiligde verbinding naar de webinterface van de router. Als je vreest voor een MITM-attack, wikkel de router dan in aluminiumfolie (om wifi te blokkeren) en sluit alleen je eigen pc aan. Vervolgens accepteer je het certificaat dat je dan ziet, en vervolgens ben je weer veilig.

Dus de beste 'veiligste' manier na een reboot van je modem fritz.box is dus, als ik goed begrijp:
1. Stroom eraf?
1. Modem afsluiten van telefoonkabel, zodat je geen verbinding hebt meer met internet?
2. Alle telefoon/lan kabels uittrekken, zodat geen apparaten meer zijn verbonden?
3. Fritz.box in alufolie wikkelen? En antenne ook? Soort kooi van Faraday creëren?
4.Via een LIVE LINUX CD je OS starten?
5. Alle apps sluiten behalve je browser en beveiligingssoftware+firewall?
6. Al je extenties in je browser installeren om maxiomale veiligheid: noscript/adblock/ghostery/HTTPS everywhere/etc? flash blokkeren, popups blokkeren, javascript blokkeren,
7. Op je computer met netwerkscan FING controleren of geen netwerken/apparaten aanwezig zijn op netwerk?
8.Na deze softwarematigcontrole op je LIVE CD en netwerk plus controle van malware/virus/MIM/etc en je zeker weet dat er niets meer aan hangt!!!
Dan pas je computer met fritz verbinden via:
9. Met een cat5/6/7/8 twisted pair schielded (ISO/IEC 11801:2002 category 7/class F)?
10. Spanning/voeding aansluiten op fritz?
11. Dubbelcheck of niets is mee gekomen via FING?
12. Inloggen via 'https://fritz.box' of IPadres modem? Welke van twee kan je best gebruiken??
13. De meldingen 'onveilig verbinding'etc' negeren??
14. Nieuw certificaat op je modem genereren en downloaden naar je computer?
15. Uitloggen van fritz.?
16. Certificaat importeren in ff/chrome en IPadres modem certificaat controleren als is toegewezen door je provider?
17. Filters configureren en alle overige verbindingen standaard blokkeren op fritzboxsetup en backup maken instellingen?
18. Controleren met FING en nu bevestigen of je idd nu veilig verbinding maakt zonder meldingen op 'https://fritz.box'???

Na dit proces kan je dan met 100% zekerheid zeggen dan je veilig op je modem hebt gewerkt??
En besluiten je hele netwerk weer aan fritzbox te hangen??

Ik denk dat ik dit proces voor al mijn apparaten in netwerk afzonderlijk moet herhalen?
Dus voor de drie computers, twee laptops, 2 mobiel en 1 tablet, printer, TV en receiver ?? Totaal 11x dus??

Klopt dit stappenplan een beetje?

Maar ik ben nog steeds paranoia n.a.v. dit??

Zeker, maar stél je voor dat deze offline PC wordt gebruikt om bepaalde certificaten te signen. Alleen op deze PC staat de private key die dat doet.

Zodra je die sleutel in handen krijgt kan je zelf valse certificaten uitgeven die andere, wel connected, PC's van dat bedrijf gewoon accepteren.

Daarna kan je vrolijk Man in the Middle attacks uitvoeren en alsnog data onderscheppen van dat bedrijf.

Zo zijn er meen ik enkele Certificate Authorities die dat op een dergelijke manier doen. Een fysiek afgescheiden PC zou dus in een aparte ruimte met kooi van faraday moeten staan om dit te voorkomen.

Toe gegeven, dit is ver gezocht, maar als je dus ECHT ver wil gaan in je beveiliging moet je óók hier over na denken.

Bron: https://tweakers.net/nieuws/104455/onderzoekers-hacken-offlinecomputers-met-dumbphone.html

Hoe kan ik deze paranoia elimineren???!!
En dan ben ik ook vergeten, dat je je apparatuur MOET checken op aanwezigheid van illegale USBsticks/keyloggers/ingebouwde hardware die toetsaanslagen doorstuurt naar aanvaller/verborgen camera's/etc

Alle tips/info/kennis/links/blogs/onderzoeken/etc zijn welkom....
Alvast bedankt voor jullie medewerking en reacties!

[ Voor 3% gewijzigd door digidokter.net op 04-09-2017 10:23 . Reden: Paranoia in kooi van Faraday een certificaat installeren op fritz stappenplan? ]

[GlowMouse]

Het hoeft niet na elke reboot, alleen als je een nieuwe fritz!box hebt. Daarnaast hoeft het alleen op de pc waarvandaan je de webinterface van de fritz!box benadert. Wanneer je nooit in de webinterface gaat rommelen, is deze hele heisa niet nodig.

[Jester-NL]

F_J_K schreef op maandag 4 september 2017 @ 09:25:
[...]
Dan is SSL op de fritzbox dus alleen relevant als je bang bent dat op je eigen wifi netwerk wordt afgeluisterd.

Ehrm... de meeste routers geven je de optie om beheer alleen bekabeld te doen, en kun je een inlog per wifi gewoon laten negeren.

[digidokter.net]

Stel jij kent een geheim dat niemand anders kent (niet heel bijzonder). Bijzonder is wel dat jij kunt bewijzen dat jij (als enige) dat geheim kent, zonder dat geheim zelf ooit prijs te geven. Wat je wel prijsgeeft is een afgeleide van jouw geheim. Uit die afgeleide kan niemand jouw geheim bepalen, maar via een wiskundige truc met zowel de afgeleide (door degene die wil vastellen dat jij het geheim kent en jij dus echt jij bent) als een wiskundige truc uitgevoerd door jou met jouw geheim, kun jij aantonen dat jij jij bent.

We hebben op school geleerd dat als je weet dat C = A x B, en je weet twee van de drie variabelen, je de derde kunt uitrekenen - ook als je ofwel C en A, ofwel C en B weet (want C/B = A en C/A = B ).

Er bestaan echter wiskundige functies C = P (x) K waarbij dat niet opgaat (die "(x)" is geen gewone vermenigvuldiging). Ik bedoel te zeggen dat je wel eenvoudig C kunt uitrekenen als je P en K kent, maar als je C kent en ofwel P ofwel K, het ongelofelijk moeilijk is om de onbekende waarde uit te rekenen (tenzij je over een zeer krachtige quantum computer beschikt, maar die zijn er nog niet - voor zover bekend).

Nog interessanter wordt het als de volgende 2 functies blijken te bestaan:
C = P1 (x) K1
P2 = C (x) K2

Het geheim waar ik het helemaal bovenaan over had is K2, oftewel jouw private key. P1 en P2 staan hierbij voor een kort stukje Plaintext (leesbare tekst, bijv. "Aap"), K1 staat voor de public key en C voor Cryptext. Die (x) staat dus voor een cryptografische bewerking; met K1 wordt versleuteld, met K2 wordt ontcijferd.

Iemand die wil weten of jij jij bent, en over jouw public key K1 beschikt, neemt een willekeurig stukje korte tekst P1 en berekent C, dus met de eerste functie:
C = P1 (x) K1
De waarde in C stuurt hij naar jou. Belangrijk is te weten dat niemand met kennis van C en K1 kan bepalen wat P1 was (in tegenstelling tot een gewone vermenigvuldiging is deze functie niet eenvoudig omkeerbaar).

Degene die over K2 en C beschikt kan bepalen wat P2 is, en als K1 en K2 "complementair" zijn (d.w.z. als K1 een afgeleide is van K2) zal P2 hetzelfde zijn als P1. Dus als iemand C naar jou gestuurd heeft kun jij daar, samen met jouw private key K2 (jouw geheim), P2 uit bepalen:
P2 = C (x) K2
waarna je P2 kunt terugsturen.

Als degene die jou C gestuurd heeft en P2 retour heeft gekregen, ziet dat P2 hetzelfde is als P1, weet hij zeker dat jij jij bent, mits:
1) Hij zeker weet dat K1 (jouw public key) echt van jou is (en niet van iemand die zich voordoet als);
2) K2 (jouw geheim) niet in andere handen terecht is gekomen;
3) K1 en K2 lang genoeg zijn om niet met actuele quantum- of traditionele computers te kunnen worden gekraakt.

Als we ervan uitgaan dat aan de punten 2 en 3 voldaan wordt, rest ons het zeker weten dat een public key "van een specifiek iemand is" en niet van iemand die zich voordoet als (opzettelijk, of onbedoeld omdat hij toevallig dezelfde naam heeft). De veiligste manier om een public key van iemand te krijgen is deze dan ook live door iemand overhandigd te krijgen.

Maar dat is lang niet altijd praktisch! Om die reden zijn digitale certificaten uitgevonden: daarbij garandeert een door jou vertrouwde derde partij (TTP of Trusted Third Party) dat een public key van iemand (of van een organisatie of van een website) is. Een organisatie die certificaten uitgeeft wordt een Certificate Authority (CA) of Certificate Service Provider (CSP) genoemd.

Met het Windows tooltje XCA kun je zelf voor CA spelen (maar ook sleutelparen en certificate requests genereren).

Probeer het bovenstaande eerst maar eens te begrijpen! De kern is dat je een geheim (private key K2) kent dat je strikt geheim houdt. De afgeleide daarvan (public key K1) is geen geheim, maar daarvan is het [essentieel dat duidelijk is van wie deze is - om identiteitsfraude te voorkomen.

Bovenstaande heeft me geholpen bij het beveiligen van mijn netwerk vannacht: Ik ben 11 uur bezig geweest mijn paranoia en instellen/configueren, maar denk eindelijk 'veilig/beschermt' te zijn. Uiteindelijk bleek de 'onbekende'PC in mijn netwerk mijn TVBOX te zijn!!! Ik kwam erachter toen ik alle apparatuur in huis uit had gemaakt, nadat ie steeds weer in mijn netwerk verscheen (Ook als ik de TV uit had!!!)
Paranoia ten TOP! haha, gelukkig kan ik erom lachen en relativeren, hopelijk jullie ook?!

Nu alleen nog uitvogelen hoe ik via VPN een verbinding(linux/win10) kan maken met mijn fritz.box?! Alle tips zijn welkom:

[ Voor 3% gewijzigd door digidokter.net op 06-09-2017 05:24 . Reden: VPN wens ]

[Brahiewahiewa]

https://google.com?q=vpn%2Bfritzbox

[digidokter.net]

GOED LEZEN SVP:
1. Ik log in via chrome op "https:/fritz.box" en krijg melding "onveilige verbinding!"
2. Ik log toch in via geavanceerd en laat eenmalig toe "de uitzondering"
3. ik download het certificaat van mijn fritz.box als ik ben ingelogd.
4. Ik importeer in chrome via advanced certificaten.
5. Ik ga weer naar https://fritz.box en krijg melding "veilige verbinding".
Nu komt het:
Ik heb in chrome op alles onthouden staan. Dus ook onthoudt hij dus alles(sites, certificaat etc)
Ik sluit chrome en restart laptop met bekabelde verbinding.
Ik log weer in en start chrome.
6. Ga weer naar log in via chrome op "https:/fritz.box" en krijg melding "onveilige verbinding!!!!" terwijl ik certificaat had geïmporteerd !!!?
7. Ik controleer het certificaat in advanced en hij staat er echt tussen met sleutel!!
8. Met tegenzin log in weer op een op een onbeveiligde verbinding "https:/fritz.box" en krijg melding "onveilige verbinding!" negeer het
9. en kijk op fritzbox en zie dat er een nieuw certificaat is gegenereerd! Dus doe bovenstaande opnieuw weer 3 tot 5!
Ik restart laptop:
En wat denkje bij volgende inlog op fritz.box?!
Heeft hij weer een nieuw certificaat gegenereerd en dat terwijl ik een stabiel IP adres heb 192.168.178.1
Ik heb dit een hele dag uitgevogeld maar steeds na een reboot of reset van laptop of chrome genereert hij een nieuw certificaat!!!:S
Ik ben niet thuis in certificaten en netwerken dus weet niet wat ik fout doe maar alles wat ik doe is voor mij logisch?! Maar resultaat is steeds veilig verbinding/onveilig/veilig/onveilig etc etc?!?! Wat is er aan de hand?!

[TommyboyNL]

paranoia68 schreef op zondag 10 september 2017 @ 19:03:
Wat is er aan de hand?!

Je bent te paranoia, dát is er aan de hand. Gewoon niet zo moeilijk doen.

[digidokter.net]

Heb met AVM gesproken:

Technische uitleg:
Als AVM een sleutelpaar zou genereren voor elk type FRITZ!Box en deze laat ondertekenen door bijvoorbeeld thawte, dan moet het private certificate aanwezig zijn in elke FRITZ!Box.

Hackers kunnen dan het geheugen van een enkele FRITZ!Box dumpen en reverse engineren en zo de private key bemachtigen die op elke FRITZ!Box (van dat type) werkt. Dit is waarom de certificaten van de FRITZ!Box 'ongeldig' zijn in je browser. Elke FRITZ!Box heeft namelijk een uniek certificaat dat de FRITZ!Box zelf genereert. En wat niet ondertekend is door een certificate authority.

[eric.1]

Het is compleet de vraag waar jij je nou wilt tegen beveiligen.

Vermoed je dat iemand in jouw netwerk zit en de boel afluistert of van alles injecteert? Zo niet kun je heel dat certificaat gebeuren naast je neerleggen (iig van de beheerpagina van jouw modem/router...binnen je eigen netwerk).

Tevens...zoek even op wat "Paranoia" betekent...wellicht is er iemand anders wie jou kan helpen..

[ Voor 34% gewijzigd door eric.1 op 11-09-2017 20:08 ]

[digidokter.net]

eric.1 schreef op maandag 11 september 2017 @ 17:30:
Het is compleet de vraag waar jij je nou wilt tegen beveiligen.

Vermoed je dat iemand in jouw netwerk zit en de boel afluistert of van alles injecteert? Zo niet kun je heel dat certificaat gebeuren naast je neerleggen.

Tevens...zoek even op wat "Paranoia" betekent...wellicht is er iemand anders wie jou kan helpen..

@Verwijderd Mag slotje op dit topic...mijn paranoia is genezen met betrekking tot technische uitleg in laatste post!
@eric.1
Wat ik wens is een veilige verbinding https:(ssl) met alle (bank)website/apparatuur, dat gaat technisch niet op voor fritz.box begrijp ik dus! Dus moet ik daar maar me dealen/copen/accepteren....
Dank iedereen voor zijn (goede, kwalitatieve, inhoudelijke) bijdrage in deze discussie!

[holoX]

paranoia68 schreef op maandag 11 september 2017 @ 19:58:
[...]

@Verwijderd Mag slotje op dit topic...mijn paranoia is genezen met betrekking tot technische uitleg in laatste post!
@eric.1
Wat ik wens is een veilige verbinding https:(ssl) met alle (bank)website/apparatuur, dat gaat technisch niet op voor fritz.box begrijp ik dus! Dus moet ik daar maar me dealen/copen/accepteren....
Dank iedereen voor zijn (goede, kwalitatieve, inhoudelijke) bijdrage in deze discussie!

Die beveiligde verbinding kan gewoon met iedere bank website die je maar wenst. Daar is je fritzbox alleen maar een doorgeefluik voor. Verder, take it easy

[digidokter.net]

holoX schreef op maandag 11 september 2017 @ 21:23:
[...]

Die beveiligde verbinding kan gewoon met iedere bank website die je maar wenst. Daar is je fritzbox alleen maar een doorgeefluik voor. Verder, take it easy

Dankje voor je bijdrage