gurumeditation hat geschrieben: ↑Mi Jun 05, 2019 8:50 amIch sehe das
Zertifikatsthema als Showstopper, da ich neben den schon genannten Sicherheitsbedenken den Weg zur Installation viel zu kompliziert halte. Ich arbeite seit weit über 10 Jahren in der IT, musste mir aber euer Video ansehen, um den Login einzurichten! Das ist sowohl eines Produkts in Serienreife unwürdig als auch einem Anwender nicht zumutbar.
Da müsst Ihr Euch beim Browser-Forum beschweren. Weil die haben das Thema "Zertifikate für Offline-Appliances" vergessen.
- Das Browser Forum - letztlich ein Zusammentreffen der Browser-Hersteller - legt verbindlich die Regeln fest, was ein Browser akzeptiert und anzeigt. Danach müssen sich alle, auch die Zertifikatsausgeber halten.
- Die Hersteller machen dann noch ihr eigenes Süppchen, was wie im Browser angezeigt wird.
- Bereits jetzt sieht man bei allen unverschlüsselten Seiten diese Warnungen bei allen wichtigen Eingabefeldern wie Passwörter usw. Zudem wird - in naher Zukunft - die Eingabeleiste ROT eingefärbt um vor der unsicheren, weil unverschlüsselten Seite zu warnen.
- Ein offizielles Zertifikat bekommen wir aber nicht für Offline-Appliances. Weil jede URL muss - bei der Validierung durch die Zertifikatsstelle - über das Internet verfügbar sein (der etwas im DNS hinterlegt sein). Das geht nicht mit timberwolfxyz.local, weil .local nicht im Internet aufgelöst werden darf. Das .local wird aber wiederum für die Namensauflösung per Avahi / Zeroconf benötigt.
- Selbst wenn wir die Wölfe bei der Produktion mit Timberwolf80.timberwolf.io mit dem Internet verbinden, ein offizielles Zertifikat anfordern und es online validieren lassen, wäre es nur für zwei Jahre gültig (weil das Browser Forum das so will). Und dann? Was machen wir dann? Tausende Wölfe bei den Anwendern deren Zertifikat abläuft. Das nur durch eine aufwändige Online-Verbindung oder DNS-Manipulation wieder erreichbar ist? Ganz abgesehen davon, dass der Anwender dann zehn Videos ansehen muss, wie er lokal einen DNS installiert, damit er dann Timberwolf80.timberwolf.io aufgelöst bekommt.
- Plex hat sich was ausgedacht um das zu lösen, basiert aber auf ständiger Online-Verbindung und das läuft dann immer über deren Server. Auch von intern. Hmm, wird auch nicht jedem gefallen.
Mithin:
1. Unverschlüsselt wäre eine schlechte Lösung, weil dann die Browser jede Menge Alarmmeldungen anzeigen, die zu Supportschmerzen und Sorgen führen werden, zumal die Browserhersteller das in Zukunft noch verschärfen wollen. Zudem ist der Zugriff auf technische Systeme, welche Personenbezogene Daten verarbeiten (und der Timberwolf Server ist ein solches System) verschlüsselt auszuführen. Wir kommen da nicht drumherum.
Heise: Googe Chrome warnt vor unverschlüsselten Verbindungen
2. Verschlüsselt mit TLS geht bei Offline-Appliances bei Auslieferung nur mit dem selbst signierten Zertifikat. Mit dem Aufwand, das einmal importieren zu müssen. Ist nicht toll, aber der einzige Weg. Wenn der Kunde sich für die Inbetriebnahme erst selbst ein Zertifikat stricken / validieren muss, DANN wäre das aufwändig.
==> Wer eine wirklich handhabbare, durchdachte, brauchbare und langfristig nutzbare Lösung kennt, bitte melden. Wir kennen keine und die Zertifizierungsstellen mit denen wir seit Jahren darüber verhandeln auch nicht. Also, wer schlauer als die und wir alle sind, bitte gerne melden (aber alle Details bitte durchdenken und finanzierbar muss es auch sein).
gurumeditation hat geschrieben: ↑Mi Jun 05, 2019 8:50 am Denkt bitte mal an die Anwender! Die normalen!
Wir denken nicht an die normalen Anwender? Echt jetzt?
gurumeditation hat geschrieben: ↑Mi Jun 05, 2019 8:50 amDas sind keine schmerzerprobten Beta-User, die zudem noch Supernerds sind, die auch wissen was eine Kommandozeile / Shell ist.
Das Installieren des Zertifikates unter Firefox besteht aus 1 x URL eingeben und dann 3 x Klicken. Im Video ist dieser Abschnitt in 12 (!) Sekunden erklärt:
Video ab Sekunde 77
Wie und wofür bitte brauchen Anwender dafür nun eine Kommandozeile? Eine Shell? Wieso muss man für so einen simplen Vorgang gleich ein Supernerd sein?
Für polemisieren bitte das andere Forum nehmen.
Ich setze mich gerne mit Kritik auseinander, aber bitte sachlich und massvoll und in diesem Forum auf zielführende und wohlwollende Weise. Hier hat niemand jemand anderen etwas getan und daher werden hier auch keine verbalen Keulen mit völlig überzogenen Behauptungen geschwungen.
gurumeditation hat geschrieben: ↑Mi Jun 05, 2019 8:50 amDas
VPN ist für mich ärgerlich, aber aus meiner Sicht kein Showstopper.
Ich habe ausdrücklich geschrieben, das wir das VPN noch VOR dem Release machen.
Was ist - in einer Diskussion über das Release - nun bitte ärgerlich, wenn es mit den nächsten BETAs noch vor dem Release angekündigt ist?
