Skip to content
linux-nerds.org

linux-nerds.org
  1. Übersicht
  2. Linux
  3. HSTS - Sicherheitsmechanismus für HTTPS-Verbindungen

HSTS - Sicherheitsmechanismus für HTTPS-Verbindungen

Linux
1 1 118
  • FrankMF

    HSTS (HTTP Strict Transport Security) ist ein Sicherheitsmechanismus für HTTPS-Verbindungen.

    Da ich die Tage, da mal richtig Probleme mit hatte, will ich hier mal ein paar wichtige Dinge dazu notieren. Als erstes Mal, eine sehr gute Webseite dazu wo alles sehr gut erklärt wird. Link (In englischer Sprache)

    Tipps

    HSTS

    In Etappen max-age einstellen

    max-age=300; includeSubDomains
max-age=604800; includeSubDomains
max-age=2592000; includeSubDomains

    Das Setting

    preload

    unbedingt vermeiden, bis man sich 100% sicher ist, das alles funktioniert!

    Firefox

    about:config

    Nach HSTS suchen und auf False stellen! Bitte nur zum Testen so lassen!

    Chromium

    chrome://net-internals/#hsts

    Das soll hier nicht das ganze Thema beleuchten, sondern nur die wichtigsten Informationen bübdeln. Wer damit rumspielt, weiß im Normalfall ja, was er macht 😉

    Im Fediverse -> @FrankM@nrw.social

    1. NanoPi R5S
    2. Quartz64 Model B, 4GB RAM
    3. Quartz64 Model A, 4GB RAM
    4. RockPro64 v2.1
    0
Anmelden zum Antworten

  • FrankMF

    OpenCloud - Docker Compose Hetzner VM

    Angeheftet Verschoben OpenCloud opencloud linux docker
    2
    2
    0 Stimmen
    2 Beiträge
    280 Aufrufe
    FrankMF
    Ich habe mich nochmal mit verschiedenen Aspekten der produktiven Installation beschäftigt. Auch ein wenig die KI befragt und dann ein paar Änderungen vorgenommen. Was hatte mich gestört? Traefik lief als root. Um das zu ändern, habe ich das docker-compose.yml angepasst. Ich habe auch gleich mal auf die aktuelle Version angepasst. services: traefik: image: traefik:v3.4.1 #3.3.1 container_name: traefik user: "1000:1001" # 1000 = dockeruser, 1001=docker group cap_add: - NET_BIND_SERVICE # erlaubt Ports <1024 restart: always networks: - opencloud-net ports: - "80:80" - "443:443" volumes: - ./certs:/certs # bind-mount acme.json - /var/run/docker.sock:/var/run/docker.sock:ro command: - "--log.level=${TRAEFIK_LOG_LEVEL:-ERROR}" # Let's Encrypt HTTP-01 Challenge - "--certificatesResolvers.http.acme.email=${TRAEFIK_ACME_MAIL:-example@example.org}" - "--certificatesResolvers.http.acme.storage=/certs/acme.json" - "--certificatesResolvers.http.acme.httpChallenge.entryPoint=http" - "--certificatesResolvers.http.acme.caserver=${TRAEFIK_ACME_CASERVER:-https://acme-v02.api.letsencrypt.org/directory}" # Dashboard - "--api.dashboard=true" # Entrypoints - "--entryPoints.http.address=:80" - "--entryPoints.http.http.redirections.entryPoint.to=https" - "--entryPoints.http.http.redirections.entryPoint.scheme=https" - "--entryPoints.https.address=:443" - "--entryPoints.https.transport.respondingTimeouts.readTimeout=12h" - "--entryPoints.https.transport.respondingTimeouts.writeTimeout=12h" - "--entryPoints.https.transport.respondingTimeouts.idleTimeout=3m" # Docker Provider - "--providers.docker.endpoint=unix:///var/run/docker.sock" - "--providers.docker.exposedByDefault=false" # Access Log - "--accessLog=true" - "--accessLog.format=json" - "--accessLog.fields.headers.names.X-Request-Id=keep" labels: - "traefik.enable=${TRAEFIK_DASHBOARD:-false}" - "traefik.http.middlewares.traefik-auth.basicauth.users=${TRAEFIK_BASIC_AUTH_USERS:-admin:$$apr1$$4vqie50r$$YQAmQdtmz5n9rEALhxJ4l.}" - "traefik.http.routers.traefik.entrypoints=https" - "traefik.http.routers.traefik.rule=Host(`${TRAEFIK_DOMAIN:-traefik.opencloud.test}`)" - "traefik.http.routers.traefik.middlewares=traefik-auth" - "traefik.http.routers.traefik.tls.certresolver=http" - "traefik.http.routers.traefik.service=api@internal" networks: opencloud-net: volumes: {} Und hierzu - ./certs:/certs # bind-mount acme.json brauch es noch ein paar Anpassungen auf dem Host, also im Verzeichnis von wo wir deployen mit dem dockeruser! mkdir -p ./certs touch ./certs/acme.json chmod 600 ./certs/acme.json chown 1000:1000 ./certs/acme.json # UID muss mit docker-compose user übereinstimmen Das klappt jetzt hier einwandfrei. dockeruser@opencloud:~/opencloud/deployments/examples/opencloud_full$ docker exec -it traefik id uid=1000 gid=1001 groups=1001 Sieht soweit gut aus Die KI meint noch das hier Wenn du maximale Sicherheit willst, kannst du langfristig docker-socket-proxy einsetzen. Er erlaubt Traefik nur lesenden Zugriff auf die Container-API: → Projektseite: Tecnativa/docker-socket-proxy Das muss ich aber erst noch sacken lassen und mich etwas zu einlesen.
  • FrankMF

    Restic v0.17.0 released

    Restic restic linux
    1
    0 Stimmen
    1 Beiträge
    173 Aufrufe
    Niemand hat geantwortet
  • FrankMF

    Pycharm - AI Assistant

    Linux pycharm linux
    1
    2
    0 Stimmen
    1 Beiträge
    319 Aufrufe
    Niemand hat geantwortet
  • FrankMF

    Nextcloud - Update auf 28.0.0

    Nextcloud nextcloud linux
    5
    3
    0 Stimmen
    5 Beiträge
    630 Aufrufe
    FrankMF
    28.0.1 ist da. Den Log Reader wieder aktiviert. Gleiches Verhalten. Kann ich so leider nicht gebrauchen, also wieder deaktiviert.
  • FrankMF

    Happy Birthday Debian

    Allgemeine Diskussionen debian linux
    1
    1
    0 Stimmen
    1 Beiträge
    128 Aufrufe
    Niemand hat geantwortet
  • FrankMF

    Storage Box für den REST-Server

    Restic davfs2 rest-server linux
    1
    0 Stimmen
    1 Beiträge
    199 Aufrufe
    Niemand hat geantwortet
  • FrankMF

    Kopia - Verbessertes UI in Arbeit

    Kopia kopia linux
    4
    0 Stimmen
    4 Beiträge
    503 Aufrufe
    FrankMF
    Nächste tolle Neuerung, man kann die Datensicherung jetzt sofort mounten. Sich alles ansehen usw. [image: 1599595077687-bildschirmfoto-vom-2020-09-08-21-56-39.png]
  • FrankMF

    Cups Druckdaemon

    Linux linux
    1
    5
    0 Stimmen
    1 Beiträge
    433 Aufrufe
    Niemand hat geantwortet