CNAME auf Hauptdomain ist böse – Eine Erklärung warum

24. Juni 2016 Kommentieren

Geschrieben von Oliver Völker

Ein beliebter „Fehler“, der gerne immer mal wieder gemacht wird, ist es auf eine Hauptdomain („root domain“ oder auch „zone apex“ genannt, z.B. meineseite.de) einen CNAME auf eine andere Domain zu setzen.

Bei manchen Nameservern geht das, ist aber eine Verletzung der RFCs, weitere Infos: [1].

Im PowerDNS sieht man dann diese Meldungen:

[Error] CNAME mydomain.de found, but other records with same label exist.

1	[Error] CNAME mydomain.de found, but other records with same label exist.

Im Bind etwa das:

rndc: 'reload' failed: CNAME and other data

1	rndc: 'reload' failed: CNAME and other data

Hintergrund ist, dass es neben einem CNAME keine weiteren Records geben darf, da der CNAME immer bevorzugt wird und dementsprechend sehen andere Nameserver (z.B. die Recursor), die NS und SOA-Records für diese Domain nicht mehr. Das kann durchaus zu ziemlicher Verwirrung führen oder kompletter Lähmung der Domain führen, sollte etwa DNSSEC zum Einsatz kommen.

CloudFlare wirbt damit, dass es quasi CNAME im zone apex unterstützt, bedient sich dabei aber eigentlich einem Trick: Deren Nameserver folgen quasi dem CNAME und liefern anschließend nur Records aus, die keine CNAME-Daten enthalten (z.B. A- oder MX-Records).

[1]

http://tools.ietf.org/html/rfc1034 November, 1987
http://tools.ietf.org/html/rfc1035 November, 1987
http://tools.ietf.org/html/rfc1912 February, 1996

Blog

CNAME, DNS, Internet, Nameserver, RFC

IPv6 mit Hurricane Electric auf Ubiquiti EdgeRouter

14. Mai 2016 Kommentieren

Geschrieben von Oliver Völker

In diesem Artikel erkläre ich den Aufbau eines IPv6 Tunnels zum Anbieter Hurricane Electric (wie SixXS nur nett und freundlich) mit dem Ubiquiti EdgeRouter ERPoe 5-Port.

Blog

EdgeRouter, Hurricane Electric, Internet, IPv6, Provider, SixXS

neue Bilder auf moewenpix.de

3. Mai 2016 Kommentieren

Geschrieben von Oliver Völker

ich habe mal meinen anderen Bilderblog aktualisiert.

Mehr auf moewenpix.de.

Blog

keybase.io Alpha-Test Einladungen

23. Februar 2016 2 Kommentare

Geschrieben von Oliver Völker

keybase.io hat das Ziel Verschlüsselung einfacher zu gestalten. Wer schonmal einem IT-Laien GPG erklärt hat wird es wissen.

Aktuell ist keybase.io noch in der Alpha-Phase und es werden Leute gesucht, die testen und Fehler suchen/melden wollen.

Angenommen ihr kennt eine Person über Twitter oder eine Webseite und wollt ihr eine verschlüsselte Nachricht zukommen lassen. Bisher hat man dann mit einem Tool wie der Schlüsselverwaltung von Enigmail oder Seahorse auf öffentlichen Keyservern gesucht und dann den vermutlich richtigen Public-Key importiert. Nicht jeder lädt aber z.B. seinen Key dort hoch, oder es liegt einfach ein veralteter, nicht widerrufener Key dort. Der Empfänger kann also nicht verschlüsselt erreicht werden oder er kann die Mail nicht lesen, da sie mit dem falschen Pubkey verschlüsselt wurde.

keybase.io soll hier Abhilfe schaffen.

Was bereits funktioniert:

Verifikation einer Person über GPG-Pubkeys, Twitter/GitHub Account, DNS-Domain, Webseite, Reddit, Coinbase, Bitcoin-Adresse
Andere Benutzer tracken
Browser-Plugins um verschlüsselte Nachrichten an andere Benutzer zu senden und zu empfangen
Ein Kommandozeileninterface über das keybase.io gesteuert werden kann

Aktuell habe ich noch 5 Einladungen zu vergeben. Meldet euch einfach. Meinen Account findet ihr hier.

In einem Blogpost erklären die Entwickler das Ganze auch etwas genauer.

EDIT: Habe zusätzliche Einladungen erhalten. Aktuell sind noch 16 verfügbar!

Blog

XKCD Gravitational Waves

14. Februar 2016 Kommentieren

Geschrieben von Oliver Völker

Blog

Optimierte Config für ownCloud

12. Februar 2016 Kommentieren

Geschrieben von Oliver Völker

Diese Konfiguration bietet im Zusammenspiel mit der nginx-Konfiguration eine recht gute Performance.

Folgendes wird vorausgesetzt (XXX ist durch eigene Werte zu ersetzen):

Redis-Installation
headless-Installation von libre-office
Mailaccount über den Notifications und andere Mails verschickt werden

<?php
$CONFIG = array (
  'instanceid' => 'XXX',
  'passwordsalt' => 'XXX',
  'hashingCost' => 15,
  'datadirectory' => '/srv/XXX',
  'overwrite.cli.url' => 'https://cloud.ovtec.it',
  'dbtype' => 'mysql',
  'version' => '8.2.2.2',
  'dbname' => 'owncloud',
  'dbhost' => 'XXX',
  'dbtableprefix' => 'oc_',
  'dbuser' => 'owncloud',
  'dbpassword' => 'XXX',
  'installed' => true,
  'forcessl' => true,
  'maxZipInputSize' => 838860800,
  'allowZipDownload' => true,
  'theme' => '',
  'maintenance' => false,
  'default_language' => 'de',
  'appcodechecker' => false,
  'logtimezone' => 'Europe/Berlin',
  'log_type' => 'owncloud',
  'log_level' => '2',
  'log_rotate_size' => '104857600',
  'log_authfailip' => true,
  'log_query' => false,
  'trusted_domains' => 
  array (
    0 => 'cloud.ovtec.it',
  ),
  'mail_smtpmode' => 'smtp',
  'mail_from_address' => 'noreply',
  'mail_domain' => 'XXX',
  'enable_previews' => true,
  'preview_libreoffice_path' => '/usr/bin/libreoffice',
  'mail_smtpname' => 'relay@XXX',
  'mail_smtpsecure' => 'tls',
  'mail_smtpauth' => true,
  'mail_smtppassword' => 'XXX',
  'mail_smtphost' => 'XXX',
  'mail_smtpauthtype' => 'LOGIN',
  'secret' => 'XXX',
  'remember_login_cookie_lifetime' => 1296000,
  'session_lifetime' => 172800,
  'session_keepalive' => true,
  'asset-pipeline.enabled' => true,
  'filelocking.enabled' => 'true',
  'memcache.locking' => '\\OC\\Memcache\\Redis',
  'redis' => 
  array (
    'host' => 'XXX',
    'port' => 6379,
    'timeout' => 0,
    'dbindex' => 0,
  ),
  'memcache.local' => '\\OC\\Memcache\\Redis',
  'memcache.distributed' => '\\OC\\Memcache\\Redis',
  'loglevel' => 2,
  'trashbin_retention_obligation' => 'auto',
);

<?php

$CONFIG = array (

'instanceid' => 'XXX',

'passwordsalt' => 'XXX',

'hashingCost' => 15,

'datadirectory' => '/srv/XXX',

'overwrite.cli.url' => 'https://cloud.ovtec.it',

'dbtype' => 'mysql',

'version' => '8.2.2.2',

'dbname' => 'owncloud',

'dbhost' => 'XXX',

'dbtableprefix' => 'oc_',

'dbuser' => 'owncloud',

'dbpassword' => 'XXX',

'installed' => true,

'forcessl' => true,

'maxZipInputSize' => 838860800,

'allowZipDownload' => true,

'theme' => '',

'maintenance' => false,

'default_language' => 'de',

'appcodechecker' => false,

'logtimezone' => 'Europe/Berlin',

'log_type' => 'owncloud',

'log_level' => '2',

'log_rotate_size' => '104857600',

'log_authfailip' => true,

'log_query' => false,

'trusted_domains' =>

array (

0 => 'cloud.ovtec.it',

'mail_smtpmode' => 'smtp',

'mail_from_address' => 'noreply',

'mail_domain' => 'XXX',

'enable_previews' => true,

'preview_libreoffice_path' => '/usr/bin/libreoffice',

'mail_smtpname' => 'relay@XXX',

'mail_smtpsecure' => 'tls',

'mail_smtpauth' => true,

'mail_smtppassword' => 'XXX',

'mail_smtphost' => 'XXX',

'mail_smtpauthtype' => 'LOGIN',

'secret' => 'XXX',

'remember_login_cookie_lifetime' => 1296000,

'session_lifetime' => 172800,

'session_keepalive' => true,

'asset-pipeline.enabled' => true,

'filelocking.enabled' => 'true',

'memcache.locking' => '\\OC\\Memcache\\Redis',

'redis' =>

array (

'host' => 'XXX',

'port' => 6379,

'timeout' => 0,

'dbindex' => 0,

'memcache.local' => '\\OC\\Memcache\\Redis',

'memcache.distributed' => '\\OC\\Memcache\\Redis',

'loglevel' => 2,

'trashbin_retention_obligation' => 'auto',

);

Blog

meine nginx-config für ownCloud

12. Februar 2016 Kommentieren

Geschrieben von Oliver Völker

In einem anderen Artikel zeige ich eine optimierte Konfiguration für ownCloud.

Diese Config bietet folgende Features:

HTTPS mit http2 (dafür brauchts u.u. einen aktuellen selbst kompilierten nginx (hier läuft 1.9.11 mit ngx_pagespeed)
Automatische Umleitung auf SSL
maximale Größe einer Datei beim Upload: 10 GB
.well-known Adresse für die bequeme Einrichtung von Cal- und Card-DAV Apps
Zugriff verbieten auf interne Bereiche von ownCloud (z.B. config)
Dateien werden direkt heruntergeladen (X-ACCEL-REDIRECT) ohne über php geschleust zu werden
Caching für Bilder, CSS, JS usw.
Sichere Header für SSL und Frames (Strict-Transport-Security, X-Frame-Options)

server {
  listen 31.172.113.115:80;
  server_name cloud.ovtec.it;

  root /var/www/default;

  rewrite ^ https://$server_name$request_uri? permanent;

  location ~ /\.(svn|git) { deny all; }

  #access_log off;
  access_log /var/log/nginx/cloud.ovtec.it_access.log;
  error_log /var/log/nginx/cloud.ovtec.it_error.log;
}

server {
  listen 31.172.113.115:443 ssl http2;
  server_name cloud.ovtec.it;

  root /var/www/cloud.ovtec.it/;

  #pagespeed off;
  include pagespeed-include.conf;

  client_max_body_size 10G;
  client_header_buffer_size 64k;
  large_client_header_buffers 4 64k;
  fastcgi_buffers 64 4K;
  gzip off;

  rewrite ^/caldav(.*)$ /remote.php/caldav$1 redirect;
  rewrite ^/carddav(.*)$ /remote.php/carddav$1 redirect;
  rewrite ^/webdav(.*)$ /remote.php/webdav$1 redirect;

  index index.php;
  error_page 403 /core/templates/403.php;
  error_page 404 /core/templates/404.php;

  location = /robots.txt {
    allow all;
    log_not_found off;
    access_log off;
  }

  location ~ ^/(?:\.htaccess|data|config|db_structure\.xml|README){
    deny all;
  }

  location / {
    # The following 2 rules are only needed with webfinger
    rewrite ^/.well-known/host-meta /public.php?service=host-meta last;
    rewrite ^/.well-known/host-meta.json /public.php?service=host-meta-json last;
    rewrite ^/.well-known/carddav /remote.php/carddav/ redirect;
    rewrite ^/.well-known/caldav /remote.php/caldav/ redirect;
    rewrite ^(/core/doc/[^\/]+/)$ $1/index.html;
    try_files $uri $uri/ /index.php;
  }

  location ~ \.php(?:$|/) {
    fastcgi_split_path_info ^(.+\.php)(/.+)$;
    include fastcgi_params;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    fastcgi_param PATH_INFO $fastcgi_path_info;
    fastcgi_param HTTPS on;
    fastcgi_intercept_errors on;
    fastcgi_pass unix:/var/run/php5-fpm-owncloud.sock;
    #fastcgi_pass unix:/var/run/php7-fpm-owncloud.sock;
    fastcgi_param MOD_X_ACCEL_REDIRECT_ENABLED on;
  }

  location ^~ /data {
    internal;
    alias /srv/owncloud-data;
  }

  location ~* \.(?:jpg|jpeg|gif|bmp|ico|png|css|js|swf)$ {
    expires 30d;
    access_log off;
  }

  #access_log off;
  access_log /var/log/nginx/cloud.ovtec.it_access.log;
  error_log /var/log/nginx/cloud.ovtec.it_error.log;

  add_header Strict-Transport-Security $hsts_header;
  add_header X-Frame-Options SAMEORIGIN;
  ssl_certificate ssl/wildcard_ovtec.it-bundle.crt;
  ssl_certificate_key ssl/wildcard_ovtec.it.key;
}

server {

listen 31.172.113.115:80;

server_name cloud.ovtec.it;

root /var/www/default;

rewrite ^ https://$server_name$request_uri? permanent;

location ~ /\.(svn|git) { deny all; }

#access_log off;

access_log /var/log/nginx/cloud.ovtec.it_access.log;

error_log /var/log/nginx/cloud.ovtec.it_error.log;

}

server {

listen 31.172.113.115:443 ssl http2;

server_name cloud.ovtec.it;

root /var/www/cloud.ovtec.it/;

#pagespeed off;

include pagespeed-include.conf;

client_max_body_size 10G;

client_header_buffer_size 64k;

large_client_header_buffers 4 64k;

fastcgi_buffers 64 4K;

gzip off;

rewrite ^/caldav(.*)$ /remote.php/caldav$1 redirect;

rewrite ^/carddav(.*)$ /remote.php/carddav$1 redirect;

rewrite ^/webdav(.*)$ /remote.php/webdav$1 redirect;

index index.php;

error_page 403 /core/templates/403.php;

error_page 404 /core/templates/404.php;

location = /robots.txt {

allow all;

log_not_found off;

access_log off;

}

location ~ ^/(?:\.htaccess|data|config|db_structure\.xml|README){

deny all;

}

location / {

# The following 2 rules are only needed with webfinger

rewrite ^/.well-known/host-meta /public.php?service=host-meta last;

rewrite ^/.well-known/host-meta.json /public.php?service=host-meta-json last;

rewrite ^/.well-known/carddav /remote.php/carddav/ redirect;

rewrite ^/.well-known/caldav /remote.php/caldav/ redirect;

rewrite ^(/core/doc/[^\/]+/)$ $1/index.html;

try_files $uri $uri/ /index.php;

}

location ~ \.php(?:$|/) {

fastcgi_split_path_info ^(.+\.php)(/.+)$;

include fastcgi_params;

fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

fastcgi_param PATH_INFO $fastcgi_path_info;

fastcgi_param HTTPS on;

fastcgi_intercept_errors on;

fastcgi_pass unix:/var/run/php5-fpm-owncloud.sock;

#fastcgi_pass unix:/var/run/php7-fpm-owncloud.sock;

fastcgi_param MOD_X_ACCEL_REDIRECT_ENABLED on;

}

location ^~ /data {

internal;

alias /srv/owncloud-data;

}

location ~* \.(?:jpg|jpeg|gif|bmp|ico|png|css|js|swf)$ {

expires 30d;

access_log off;

}

#access_log off;

access_log /var/log/nginx/cloud.ovtec.it_access.log;

error_log /var/log/nginx/cloud.ovtec.it_error.log;

add_header Strict-Transport-Security $hsts_header;

add_header X-Frame-Options SAMEORIGIN;

ssl_certificate ssl/wildcard_ovtec.it-bundle.crt;

ssl_certificate_key ssl/wildcard_ovtec.it.key;

}

Blog

sslyze – cooles Python-Tool um HTTPS-Hosts zu prüfen

12. Februar 2016 Kommentieren

Geschrieben von Oliver Völker

Das Tool sslyze kann helfen Schwachstellen und Probleme mit HTTPS-Webseiten zu identifizieren (ähnlich SSLabs).

Es läßt sich einfach per „pip install sslyze“ installieren (oder per git von github). Vorher sollte das Paket „python-dev“ installiert sein (Debian Jessie).

Ein Scan sieht dann z.B. so aus:

# sslyze_cli.py --regular www.magenbrot.net:443



 AVAILABLE PLUGINS
 -----------------

  CompressionPlugin
  SessionResumptionPlugin
  SessionRenegotiationPlugin
  OpenSslCcsInjectionPlugin
  HstsPlugin
  FallbackScsvPlugin
  OpenSslCipherSuitesPlugin
  HeartbleedPlugin
  CertificateInfoPlugin



 CHECKING HOST(S) AVAILABILITY
 -----------------------------

   www.magenbrot.net:443                       => 31.172.113.114 



 SCAN RESULTS FOR WWW.MAGENBROT.NET:443 - 31.172.113.114:443
 -----------------------------------------------------------

  * TLSV1_1 Cipher Suites:
      Preferred:                       
        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA                ECDH-256 bits  256 bits      HTTP 200 OK                                                 
      Accepted:                        
        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA                ECDH-256 bits  256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_256_CBC_SHA                  DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA             DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_256_CBC_SHA                      -              256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_CAMELLIA_256_CBC_SHA                 -              256 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA                ECDH-256 bits  128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA             DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_128_CBC_SHA                  DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_128_CBC_SHA                      -              128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_CAMELLIA_128_CBC_SHA                 -              128 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA               ECDH-256 bits  112 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA                 DH-2048 bits   112 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_3DES_EDE_CBC_SHA                     -              112 bits      HTTP 200 OK                                                 

  * TLSV1 Cipher Suites:
      Preferred:                       
        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA                ECDH-256 bits  256 bits      HTTP 200 OK                                                 
      Accepted:                        
        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA                ECDH-256 bits  256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_256_CBC_SHA                  DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA             DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_CAMELLIA_256_CBC_SHA                 -              256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_256_CBC_SHA                      -              256 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA                ECDH-256 bits  128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA             DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_128_CBC_SHA                      -              128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_128_CBC_SHA                  DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_CAMELLIA_128_CBC_SHA                 -              128 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA               ECDH-256 bits  112 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA                 DH-2048 bits   112 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_3DES_EDE_CBC_SHA                     -              112 bits      HTTP 200 OK                                                 

  * Session Renegotiation:
      Client-initiated Renegotiation:    OK - Rejected
      Secure Renegotiation:              OK - Supported

  * Deflate Compression:
                                         OK - Compression disabled

  * OpenSSL Heartbleed:
                                         OK - Not vulnerable to Heartbleed

  * TLSV1_2 Cipher Suites:
      Preferred:                       
        TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384             ECDH-256 bits  256 bits      HTTP 200 OK                                                 
      Accepted:                        
        TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384             ECDH-256 bits  256 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA                ECDH-256 bits  256 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384             ECDH-256 bits  256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_256_GCM_SHA384               DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_256_CBC_SHA256               DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_256_CBC_SHA                  DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_256_CBC_SHA256                   -              256 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA             DH-2048 bits   256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_256_GCM_SHA384                   -              256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_CAMELLIA_256_CBC_SHA                 -              256 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_256_CBC_SHA                      -              256 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256             ECDH-256 bits  128 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA                ECDH-256 bits  128 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256             ECDH-256 bits  128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_128_CBC_SHA256               DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_128_GCM_SHA256               DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_128_GCM_SHA256                   -              128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_AES_128_CBC_SHA                  DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_CAMELLIA_128_CBC_SHA                 -              128 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA             DH-2048 bits   128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_128_CBC_SHA                      -              128 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_AES_128_CBC_SHA256                   -              128 bits      HTTP 200 OK                                                 
        TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA               ECDH-256 bits  112 bits      HTTP 200 OK                                                 
        TLS_RSA_WITH_3DES_EDE_CBC_SHA                     -              112 bits      HTTP 200 OK                                                 
        TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA                 DH-2048 bits   112 bits      HTTP 200 OK                                                 

  * OpenSSL CCS Injection:
                                         OK - Not vulnerable to OpenSSL CCS injection

  * Session Resumption:
      With Session IDs:                  OK - Supported (5 successful, 0 failed, 0 errors, 5 total attempts).
      With TLS Tickets:                  OK - Supported

  * SSLV3 Cipher Suites:
      Server rejected all cipher suites.

  * Downgrade Attacks:
      TLS_FALLBACK_SCSV:                 OK - Supported

  * SSLV2 Cipher Suites:
      Server rejected all cipher suites.

  * Certificate Basic Information:
      SHA1 Fingerprint:                  10b064a54a29ecb185c67c2516c75e53f4f8b505
      Common Name:                       magenbrot.net
      Issuer:                            Let's Encrypt Authority X1
      Serial Number:                     01316243ED5002FA8F19AD670F7515DEA2DF
      Not Before:                        Feb  5 08:26:00 2016 GMT
      Not After:                         May  5 08:26:00 2016 GMT
      Signature Algorithm:               sha256WithRSAEncryption
      Public Key Algorithm:              rsaEncryption
      Key Size:                          2048 bit
      Exponent:                          65537 (0x10001)
      X509v3 Subject Alternative Name:   {'DNS': ['magenbrot.net', 'www.magenbrot.net']}

  * Certificate - Trust:
      Hostname Validation:               OK - Subject Alternative Name matches www.magenbrot.net
      Mozilla NSS CA Store (02/2016):    OK - Certificate is trusted
      Microsoft CA Store (02/2016):      OK - Certificate is trusted
      Apple CA Store (OS X 10.11.3):     OK - Certificate is trusted
      Java 6 CA Store (Update 65):       OK - Certificate is trusted
      Google CA Store (02/2016):         FAILED - Certificate is NOT Trusted: unable to get local issuer certificate
      Weak Signature:                    OK - No SHA1-signed certificate in the chain
      Certificate Chain Received:        ['magenbrot.net', "Let's Encrypt Authority X1"]

  * Certificate - OCSP Stapling:
                                         NOT SUPPORTED - Server did not send back an OCSP response.



 SCAN COMPLETED IN 1.78 S
 ------------------------

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

# sslyze_cli.py --regular www.magenbrot.net:443

AVAILABLE PLUGINS

-----------------

CompressionPlugin

SessionResumptionPlugin

SessionRenegotiationPlugin

OpenSslCcsInjectionPlugin

HstsPlugin

FallbackScsvPlugin

OpenSslCipherSuitesPlugin

HeartbleedPlugin

CertificateInfoPlugin

CHECKING HOST(S) AVAILABILITY

-----------------------------

www.magenbrot.net:443 => 31.172.113.114

SCAN RESULTS FOR WWW.MAGENBROT.NET:443 - 31.172.113.114:443

-----------------------------------------------------------

* TLSV1_1 Cipher Suites:

Preferred:

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH-256 bits 256 bits HTTP 200 OK

Accepted:

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH-256 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_256_CBC_SHA DH-2048 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA DH-2048 bits 256 bits HTTP 200 OK

TLS_RSA_WITH_AES_256_CBC_SHA - 256 bits HTTP 200 OK

TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - 256 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDH-256 bits 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA DH-2048 bits 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_128_CBC_SHA DH-2048 bits 128 bits HTTP 200 OK

TLS_RSA_WITH_AES_128_CBC_SHA - 128 bits HTTP 200 OK

TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - 128 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDH-256 bits 112 bits HTTP 200 OK

TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA DH-2048 bits 112 bits HTTP 200 OK

TLS_RSA_WITH_3DES_EDE_CBC_SHA - 112 bits HTTP 200 OK

* TLSV1 Cipher Suites:

Preferred:

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH-256 bits 256 bits HTTP 200 OK

Accepted:

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH-256 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_256_CBC_SHA DH-2048 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA DH-2048 bits 256 bits HTTP 200 OK

TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - 256 bits HTTP 200 OK

TLS_RSA_WITH_AES_256_CBC_SHA - 256 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDH-256 bits 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA DH-2048 bits 128 bits HTTP 200 OK

TLS_RSA_WITH_AES_128_CBC_SHA - 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_128_CBC_SHA DH-2048 bits 128 bits HTTP 200 OK

TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - 128 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDH-256 bits 112 bits HTTP 200 OK

TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA DH-2048 bits 112 bits HTTP 200 OK

TLS_RSA_WITH_3DES_EDE_CBC_SHA - 112 bits HTTP 200 OK

* Session Renegotiation:

Client-initiated Renegotiation: OK - Rejected

Secure Renegotiation: OK - Supported

* Deflate Compression:

OK - Compression disabled

* OpenSSL Heartbleed:

OK - Not vulnerable to Heartbleed

* TLSV1_2 Cipher Suites:

Preferred:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDH-256 bits 256 bits HTTP 200 OK

Accepted:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 ECDH-256 bits 256 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA ECDH-256 bits 256 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 ECDH-256 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 DH-2048 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_256_CBC_SHA256 DH-2048 bits 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_256_CBC_SHA DH-2048 bits 256 bits HTTP 200 OK

TLS_RSA_WITH_AES_256_CBC_SHA256 - 256 bits HTTP 200 OK

TLS_DHE_RSA_WITH_CAMELLIA_256_CBC_SHA DH-2048 bits 256 bits HTTP 200 OK

TLS_RSA_WITH_AES_256_GCM_SHA384 - 256 bits HTTP 200 OK

TLS_RSA_WITH_CAMELLIA_256_CBC_SHA - 256 bits HTTP 200 OK

TLS_RSA_WITH_AES_256_CBC_SHA - 256 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 ECDH-256 bits 128 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA ECDH-256 bits 128 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 ECDH-256 bits 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_128_CBC_SHA256 DH-2048 bits 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 DH-2048 bits 128 bits HTTP 200 OK

TLS_RSA_WITH_AES_128_GCM_SHA256 - 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_AES_128_CBC_SHA DH-2048 bits 128 bits HTTP 200 OK

TLS_RSA_WITH_CAMELLIA_128_CBC_SHA - 128 bits HTTP 200 OK

TLS_DHE_RSA_WITH_CAMELLIA_128_CBC_SHA DH-2048 bits 128 bits HTTP 200 OK

TLS_RSA_WITH_AES_128_CBC_SHA - 128 bits HTTP 200 OK

TLS_RSA_WITH_AES_128_CBC_SHA256 - 128 bits HTTP 200 OK

TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA ECDH-256 bits 112 bits HTTP 200 OK

TLS_RSA_WITH_3DES_EDE_CBC_SHA - 112 bits HTTP 200 OK

TLS_DHE_RSA_WITH_3DES_EDE_CBC_SHA DH-2048 bits 112 bits HTTP 200 OK

* OpenSSL CCS Injection:

OK - Not vulnerable to OpenSSL CCS injection

* Session Resumption:

With Session IDs: OK - Supported (5 successful, 0 failed, 0 errors, 5 total attempts).

With TLS Tickets: OK - Supported

* SSLV3 Cipher Suites:

Server rejected all cipher suites.

* Downgrade Attacks:

TLS_FALLBACK_SCSV: OK - Supported

* SSLV2 Cipher Suites:

Server rejected all cipher suites.

* Certificate Basic Information:

SHA1 Fingerprint: 10b064a54a29ecb185c67c2516c75e53f4f8b505

Common Name: magenbrot.net

Issuer: Let's Encrypt Authority X1

Serial Number: 01316243ED5002FA8F19AD670F7515DEA2DF

Not Before: Feb 5 08:26:00 2016 GMT

Not After: May 5 08:26:00 2016 GMT

Signature Algorithm: sha256WithRSAEncryption

Public Key Algorithm: rsaEncryption

Key Size: 2048 bit

Exponent: 65537 (0x10001)

X509v3 Subject Alternative Name: {'DNS': ['magenbrot.net', 'www.magenbrot.net']}

* Certificate - Trust:

Hostname Validation: OK - Subject Alternative Name matches www.magenbrot.net

Mozilla NSS CA Store (02/2016): OK - Certificate is trusted

Microsoft CA Store (02/2016): OK - Certificate is trusted

Apple CA Store (OS X 10.11.3): OK - Certificate is trusted

Java 6 CA Store (Update 65): OK - Certificate is trusted

Google CA Store (02/2016): FAILED - Certificate is NOT Trusted: unable to get local issuer certificate

Weak Signature: OK - No SHA1-signed certificate in the chain

Certificate Chain Received: ['magenbrot.net', "Let's Encrypt Authority X1"]

* Certificate - OCSP Stapling:

NOT SUPPORTED - Server did not send back an OCSP response.

SCAN COMPLETED IN 1.78 S

------------------------

Blog

winter äähh owncloud 8.1 is coming

1. Juli 2015 Kommentieren

Geschrieben von Oliver Völker

Blog

neues Design, neues CMS

4. Juni 2015 Kommentieren

Geschrieben von Oliver Völker

Alle Jahre wieder. Diesmal gibts ein neues responsive material Design. Voll hip. Außerdem habe ich endlich den kompletten Content von Drupal in meine WordPress-Multisite Installation migriert.

Möglichkeiten für die Migration gibts viele, wirklich schön war das aber nie und mit dem Ergebnis war ich auch nicht zufrieden und habe die Seite weiter mit Drupal betrieben.

Dieses Mal habe ich das „WordPress 2 Drupal„-Plugin von Jeremy Simkins verwendet und sofort Erfolg gehabt. Sämtlicher Content, inkl. Bildern und Anhängen wurde übernommen. Super Arbeit!

Blog

CNAME auf Hauptdomain ist böse – Eine Erklärung warum

IPv6 mit Hurricane Electric auf Ubiquiti EdgeRouter

neue Bilder auf moewenpix.de

keybase.io Alpha-Test Einladungen

XKCD Gravitational Waves

Optimierte Config für ownCloud

meine nginx-config für ownCloud

sslyze – cooles Python-Tool um HTTPS-Hosts zu prüfen

winter äähh owncloud 8.1 is coming

neues Design, neues CMS

Neueste Beiträge

Neueste Kommentare

Archive