WebDAV beveiliging?

[Hessebezzel]

Ik ben onlangs overgestapt van Evernote naar Joplin, om zelf mijn notes te hosten en synchronizeren.
Joplin heeft de optie om WebDAV hiervoor te gebruiken.
Nu heb ik alles ingesteld met gebruik van de Cloud service MEGA.

Als ik met mijn Mac verbind met de server krijg ik echter de melding:
Onbeveiligde verbinding
Wil je je naam en wachtwoord onbeveiligd versturen?

De opgegeven basis-URL gebruikt een onveilige methode voor netwerkcommunicatie. Als je een veilige verbinding wilt gebruiken, moet je een server gebruiken die SSL ondersteunt.

Als ik zoek op WebDAV beveiliging meld MEGA het volgende:
Files in MEGA are encrypted, but you should bear in mind that the HTTP webdav server offers your files unencrypted.
If you wish to add authenticity to your webdav server and integrity & privacy of the data transfered to/from the clients, you can secure it with TLS.

Ik ben de enige die de server zal gebruiken, is het dan uberhaupt nodig om extra beveiliging in te stellen?
Is er een risico dat notities unencrypted onderschept kunnen worden oid bij het synchronizeren?
Joplin zelf ondersteund ook E2EE dus ik zou ook kunnen overwegen om dat aan te zetten en het zo op te lossen?

Any help would be appreciated

[laurens0619]

Waarom gebruik je niet ssl?
Wat ik lees kan dat gewoon bij mega webdav

[Hessebezzel]

laurens0619 schreef op vrijdag 20 mei 2022 @ 20:22:
Waarom gebruik je niet ssl?
Wat ik lees kan dat gewoon bij mega webdav

Weet je hoe ik dat in zou kunnen stellen?

Als ik zoek op beveiliging vind ik enkel TLS als optie:

Eerlijk gezegd kom ik daar al niet uit.
Newbie op dit gebied

[Ben(V)]

Ook al wordt de term ssl nog te pas en te onpas gebruikt, gebruiken we echter al jaren bijna alleen nog tls.
Dus bijna alle https website gebruiken tegenwoordig tls.
Ssl wordt al heel al lang als niet meer veilig genoeg gezien.

[laurens0619]

@Ben(V) heeft gelijk
Ik bedoelde tls
Die optie waar je naar linkt idd

[Hessebezzel]

I see!
Ik moet het dus als TLS instellen.
Heeft een van jullie misschien een n00b friendly guide hiervoor?
Die commands die staan op MEGA zijn voor mij te beknopt om te kunnen volgen 🙈

[Ben(V)]

Veel simpeler dan in die link is het niet uit te leggen vrees ik.

Je moet de webdav server voor jouw account configureren als https in plaats van http.
Je hoeft dus enkel het commando onder het kopje HTTPS uit te voeren om jouw MEGA webdav server als https server te configureren.

[Hessebezzel]

Ben(V) schreef op zaterdag 21 mei 2022 @ 00:00:
Veel simpeler dan in die link is het niet uit te leggen vrees ik.

Je moet de webdav server voor jouw account configureren als https in plaats van http.
Je hoeft dus enkel het commando onder het kopje HTTPS uit te voeren om jouw MEGA webdav server als https server te configureren.

Thanks voor je hulp tot nu toe!
Om deze command uit te voeren heb ik dan ook een ''certificate and key files (in PEM format)'' nodig?
Hoe maak ik die aan?

Btw. mocht ik er niet uit komen zou dan het activeren van end to end encryption in Joplin alle risico uitsluiten?
Dan worden als het goed is de notities encrypted verstuurd vanaf de server en op mijn mobiele app met de key ontsleuteld?

[biomass]

Je kunt het beste even zelf verder lezen in plaats van te hopen dat iemand met precies hetzelfde bezig is; zeker als het om beveiligen van je verbindingen gaat. Als je notes gaat synchroniseren over http op wifi zonder vpn, dan leest iedere whitehat en/of blackhat hacker gewoon mee, mocht je daar over twijfelen
Al gezocht op "how to create certificate key files pem"?

[biomass]

Als mensen toevallig met hezelfde bezig zijn, worden er wel eens hele tutorials gedeeld, onderstaande raakt jouw vraag gedeeltelijk:
Dit topic gaat ook over het aanmaken van certificaten, maar dan in de context van VPN op een Synology NAS.

[Hessebezzel]

biomass schreef op zaterdag 21 mei 2022 @ 01:33:
Je kunt het beste even zelf verder lezen in plaats van te hopen dat iemand met precies hetzelfde bezig is; zeker als het om beveiligen van je verbindingen gaat. Als je notes gaat synchroniseren over http op wifi zonder vpn, dan leest iedere whitehat en/of blackhat hacker gewoon mee, mocht je daar over twijfelen
Al gezocht op "how to create certificate key files pem"?

Thanks voor de links! 🙏
Ik had daar inderdaad al op gezocht en werd daar niet meteen veel wijzer van. Er worden veel aannames gemaakt qua basis kennis die ik niet heb. Na nog wat extra leeswerk moet je volgens mij als eerst een certificaat kopen voordat je een pem file kan maken
Het zal toch wat te omslachtig worden om de moeite waard te zijn vrees ik.

Betreft mogelijke hackers die meelezen, is dit risico niet totaal uitgesloten wanneer ik gebruik maak van de E2EE functie in Joplin? Dan worden als het goed is de notities van de server naar mijn device encrypted verstuurd, en vice versa?
Dan kunnen hackers enkel een gecodeerd bestand onderscheppen waar ze niets mee kunnen?

[biomass]

Hessebezzel schreef op zaterdag 21 mei 2022 @ 14:14:
[...]
Er worden veel aannames gemaakt qua basis kennis die ik niet heb ik nog niet heb. Na nog wat extra leeswerk moet je volgens mij als eerst een certificaat kopen voordat je een pem file kan maken
Het zal toch wat te omslachtig worden om de moeite waard te zijn vrees ik.

Certificaten kopen doe je voor sites waar je publiek bezoek hebt. Die bezoekers gebruiken namelijk clients/browsers die de root certificaten vertrouwen van het bedrijf waar jij je certificaat koopt. Maar goed tegenwoordig bestaat er ook zoiets als letsencrypt.org. Voor je priveserver kun je best je eigen root CA worden,
als er dan iets bij MEGA verandert weet je het meteen, de certificaat controle in je Webdav client faalt dan namelijk.

[biomass]

Hessebezzel schreef op zaterdag 21 mei 2022 @ 14:14:
[...]Betreft mogelijke hackers die meelezen, is dit risico niet totaal uitgesloten wanneer ik gebruik maak van de E2EE functie in Joplin? Dan worden als het goed is de notities van de server naar mijn device encrypted verstuurd, en vice versa?
Dan kunnen hackers enkel een gecodeerd bestand onderscheppen waar ze niets mee kunnen?

Zolang je de gang van zaken bij Joplin vertrouwd/kunt vertrouwen, ja

[Ben(V)]

Maar je moet wel eerst inloggen op die MEGA server en de credentials die je gebruikt gaan dan unencrypted over het internet.

Maar ik zie niet waarom je zo moeilijk doet met WebDav.
MEGA heeft gewoon een client voor je mac die alles voor je regelt en je de lokale notes gewoon laat synchronisren met je MEGA storage.
Zie
https://mega.io/desktop

[Hessebezzel]

biomass schreef op zaterdag 21 mei 2022 @ 14:52:
[...]

Certificaten kopen doe je voor sites waar je publiek bezoek hebt. Die bezoekers gebruiken namelijk clients/browsers die de root certificaten vertrouwen van het bedrijf waar jij je certificaat koopt. Maar goed tegenwoordig bestaat er ook zoiets als letsencrypt.org. Voor je priveserver kun je best je eigen root CA worden,
als er dan iets bij MEGA verandert weet je het meteen, de certificaat controle in je Webdav client faalt dan namelijk.

Ahh, I see!
Na jouw antwoord heb ik nog even verder gezocht en dit PROGRAMMA gevonden. Daar ga ik dan maar even mee aan de slag! 😎

[ Voor 3% gewijzigd door Hessebezzel op 21-05-2022 20:23 ]

[Hessebezzel]

Ben(V) schreef op zaterdag 21 mei 2022 @ 15:39:
Maar je moet wel eerst inloggen op die MEGA server en de credentials die je gebruikt gaan dan unencrypted over het internet.

Maar ik zie niet waarom je zo moeilijk doet met WebDav.
MEGA heeft gewoon een client voor je mac die alles voor je regelt en je de lokale notes gewoon laat synchronisren met je MEGA storage.
Zie
https://mega.io/desktop

Thanks voor het meedenken.
Helaas werkt het synchronizeren met Joplin op deze manier enkel op Desktop en Android (gebruik makende van de Local Files optie). Als je de notes tussen IOS en Mac wilt syncen kan dit enkel via WebDav of een geintegreerde optie zoals Nextcloud, Dropbox of Onedrive

[Hessebezzel]

Update:
Via mkcert heb ik de benodigde certificaten aangemaakt en vervolgens de command van Mega gerunt, linkend naar de .pem files om TLS te activeren.

Wanneer ik met mijn Mac met de server wil verbinden krijg ik de melding:
“Er heeft zich een probleem voorgedaan bij het verbinden met de server.
Het maximale aantal gebruikers dat gelijktijdig met deze bestandsserver verbinding kan maken is bereikt. Probeer later opnieuw verbinding te maken.”

Deze melding heeft volgens mij overigens niets te maken met het activeren van TLS. Voordat ik TLS had geactiveerd heb ik deze error ook al gehad. In eerste instantie kon ik verbinden met de server maar na een reboot van mijn Mac kreeg ik bovenstaande melding.
Ik heb al een tijdje gezocht op internet op deze melding maar vond geen behulpzame resultaten.
Thoughts? 🤷‍♂️

[Diederik]

Hessebezzel schreef op vrijdag 20 mei 2022 @ 20:03:
Ik ben onlangs overgestapt van Evernote naar Joplin, om zelf mijn notes te hosten en synchronizeren.

Puur uit interesse, wat is de reden dat je stopt met Evernote?

[Hessebezzel]

Diederik schreef op zondag 22 mei 2022 @ 17:38:
[...]

Puur uit interesse, wat is de reden dat je stopt met Evernote?

Ik vind de App niet zo fijn werken en erger mij aan de premium subscription pop ups. Daarbij was dit artikel destijds voor mij ook al een red flag. Privacy policies kunnen altijd worden aangepast.
Ik wil zelf ook meer toewerken naar decentralisatie waar dit een optie is.

[Diederik]

Zelf ben ik fervent Evernote gebruiker, en ik snap je beweegredenen, maar ik vind het nu nog niet de moeite waard om over te stappen naar een decentrale oplossing.

Maar als ik zou overstappen, dan is mijn eerste kandidaat Synology Note station, dat vergt wel een investering in een apparaat, maar het gebruiksgemak is vergelijkbaar met een 'echte' clouddienst

[Hessebezzel]

Diederik schreef op maandag 23 mei 2022 @ 09:36:
Zelf ben ik fervent Evernote gebruiker, en ik snap je beweegredenen, maar ik vind het nu nog niet de moeite waard om over te stappen naar een decentrale oplossing.

Maar als ik zou overstappen, dan is mijn eerste kandidaat Synology Note station, dat vergt wel een investering in een apparaat, maar het gebruiksgemak is vergelijkbaar met een 'echte' clouddienst

Note station was ik idd ook tegengekomen!
Ik sla maar een tiental documenten per maand op dus ik kwam uit bij Joplin; Obsidian houd ik ook nog open als optie.

[biomass]

Hessebezzel schreef op zondag 22 mei 2022 @ 17:31:
Thoughts?

"I would guess that.." de servert bij mega voor jouw TLS WebDAV verbinding een sessie limiet van één heeft, waardoor je moet wachten totdat die sessie van de server afgekieperd wordt als jij op abnormale wijze de verbinding verliest. Als het geen privé sessie limiet is, dan is het een gewone server limiet en is het te druk voor het ding.

Niet veel over te vinden met keywords helaas https://duckduckgo.com/?t...av+session+timeout&ia=web

[ Voor 11% gewijzigd door biomass op 24-05-2022 19:55 ]

[biomass]

Het is dus vast een bug in die client service van MEGA als jij een reboot doet.

[Hessebezzel]

biomass schreef op dinsdag 24 mei 2022 @ 19:48:
[...]
"I would guess that.." de servert bij mega voor jouw TLS WebDAV verbinding een sessie limiet van één heeft, waardoor je moet wachten totdat die sessie van de server afgekieperd wordt als jij op abnormale wijze de verbinding verliest. Als het geen privé sessie limiet is, dan is het een gewone server limiet en is het te druk voor het ding.

Niet veel over te vinden met keywords helaas https://duckduckgo.com/?t...av+session+timeout&ia=web

Thanks again voor het meedenken! Wat jij zegt is idd waarschijnlijk (ook met een non TLS verbinding). Ik ben gister nog aan de slag gegaan en kwam erachter dat ik enkel een root CA had gemaakt en geen certificaat voor mijn server. Wanneer ik probeer met certbot of mkcert een certificaat voor mijn server te maken krijg ik een errormelding dat je geen certificaat aan kan maken voor een lokaal IP. Ik moet dus eerst mijn webdav server publiek beschikbaar maken; de uitleg op Mega hierover is onduidelijk.
De command “webdav —public” lijkt niet te werken, DEZE guide volgend.
Heb jij een idee hoe ik van mijn lokale server een publieke server maak?

[DiedX]

Heeft mega geen ondersteuning voor LetsEncrypt?

[Hessebezzel]

DiedX schreef op donderdag 26 mei 2022 @ 00:24:
Heeft mega geen ondersteuning voor LetsEncrypt?

Het probleem zit hem in het feit dat bij het aanmaken van een webdav server bij Mega, de webdav server als default een lokale server is en dus alleen bereikbaar is vanaf jouw computer waar je de server hebt aangemaakt (als ik het goed begrijp). Je kan geen certificaat maken voor een lokale server enkel een publieke. De vraag is alleen nu hoe ik er dan een publieke server van kan maken (om vervolgens een certificaat aan te kunnen maken).
Mega zegt hierover:
Port & public server
When you serve your first location, a WEBDAV server is configured in port 4443. You can change the port passing --port=PORT to your webdav command. By default, the server is only accessible from the local machine. You can pass --public to your webdav command so as to allow remote access. In that case, use the IP of your server to access to it.
BRON

“webdav —public” heb ik gerunt echter krijg ik geen duidelijke conformation en een certificaat daarna aanmaken lukt niet. De laatste regel “In that case, use the IP of your server to access to it” is ook onduidelijk voor mij…?

[ Voor 7% gewijzigd door Hessebezzel op 26-05-2022 17:44 ]

[biomass]

@Hessebezzel Lees je eens in over Subject Alternative Names (voor localhost). U komt er wel

[Hessebezzel]

biomass schreef op vrijdag 27 mei 2022 @ 12:48:
@Hessebezzel Lees je eens in over Subject Alternative Names (voor localhost). U komt er wel

Thanks! Definitely helpful
Ik snap alleen niet waarom ik niet http://127.0.0.1:4443/XXXXXXX/myfolder kan bezoeken vanaf een andere computer, nog voordat ik iets van een certificaat heb aangemaakt.
Daarbij lees ik nu helaas ook mbt webdav served locations: ''These locations will be available as long as MEGAcmd is running. The configuration is persisted, and will be restored everytime you restart MEGAcmd''

Als ik het goed begrijp moet dus mijn computer aanstaan met MEGAcmd running om gebruik te kunnen maken van de webdav server. Dan is het hele idee van het gebruik maken van een cloud service toch weg? Dan kan ik net zo goed een server runnen vanaf mijn computer...

[Ben(V)]

Mega levert cloud opslag voor een gebruiker, dat is wat anders dan een cloud dienst, waarbij via de cloud je data kunt delen.
Je moet het zien als opslag voor je Pc, niet op een disk maar in de cloud.

[biomass]

127.0.0.1 is een van de weinige IPv4 adressen die nooit op zal raken. Het is namelijk het adres wat hoort bij de naam localhost. Als je je bestanden op meerdere pc's in huis wilt zien, installeer je de client tig keer, of je neemt inderdaad iets als een NAS en doet alleen je backups naar MEGA. Het idee van MEGA is dat je een veilige omgeving hebt die je naar believen lokaal beschikbaar (en onbeschikbaar) kunt maken in je huis tuin en keuken OS. (Mijn interpratie)

[Hessebezzel]

Ben(V) schreef op zaterdag 28 mei 2022 @ 00:04:
Mega levert cloud opslag voor een gebruiker, dat is wat anders dan een cloud dienst, waarbij via de cloud je data kunt delen.
Je moet het zien als opslag voor je Pc, niet op een disk maar in de cloud.

Hmm I see!
Dat was voor mij niet duidelijk. Dat zal dan ook mogelijk de reden zijn dat Joplin je wel standaard laat kiezen uit het syncen met je Dropbox of Onedrive account, maar mega er niet tussen staat. Ik dacht dat dus simpelweg te omzeilen door gebruik te maken van Webdav.
Ik ga nu nog maar even nadenken over wat voor mij de beste vervolgweg is. Iig heel erg bedankt voor je hulp en het meedenken 🙏 Weer veel geleerd

[Hessebezzel]

biomass schreef op zaterdag 28 mei 2022 @ 01:53:
127.0.0.1 is een van de weinige IPv4 adressen die nooit op zal raken. Het is namelijk het adres wat hoort bij de naam localhost. Als je je bestanden op meerdere pc's in huis wilt zien, installeer je de client tig keer, of je neemt inderdaad iets als een NAS en doet alleen je backups naar MEGA. Het idee van MEGA is dat je een veilige omgeving hebt die je naar believen lokaal beschikbaar (en onbeschikbaar) kunt maken in je huis tuin en keuken OS. (Mijn interpratie)

🙏 thanks! Helder
Voor nu ga ik even nadenken over wat voor mij de beste optie/vervolgweg is. Iig heel erg bedankt voor je hulp en het meedenken!

[Hessebezzel]

Update:
Uiteindelijk gekozen om over te stappen op pCloud die gratis 10GB aanbiedt, wat voor notities voorlopig wel genoeg zal zijn. Webdav is super makkelijk te gebruiken en staat standaard “aan”, geen commands nodig en de server is meteen beveiligd met https. Syncen met Joplin lijkt prima te werken en met https beveiliging en E2EE denk ik dat mijn notities veilig zijn voor potentiële pottenkijkers 😋
Dus, bij deze, voor anderen die gebruik willen maken van een webdav cloud service incl. sync mogelijkheden is pCloud miss een aanrader.

Iig veel geleerd in dit topic dat ik goed kan gebruiken als ik in de toekomst eens een eigen server aanslinger.
Thanks iedereen! 🙏