Guten Morgen  Markus Hilft mir leider nicht weiter, weil a.) Das bereits installiert zu sein scheint, aber b.) es das Verzeichnis, wo ich Zertifikate erwarten würde, nämlich /usr/share/ca-certificates nicht zu geben scheint. c.) Ich selbst keine Installation von SuSE besitze. d.) Ich auch vorerst nicht an diesen fraglichen Rechner heran kommen kann, auch überhaupt nicht absehbar ist, wann das möglich wäre. Das Wiki (auf Deutsch) schweigt sich zu diesem Themenkomplex aus. Darum ja meine bitte um eine möglichst deutsche Anleitung, die ich weiter leiten kann. F.D. -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Hallo Am 29.03.20 um 10:18 schrieb Bernd Nachtigall:

Am 28.03.20 um 17:08 schrieb Florian Dietzsch: (...)

...

wie importiere ich auf einer SuSE-Maschine ein Root-Zertifikat, im konkreten Fall erzeugt von einer Hardware mit Namen "eBlocker"(1), zur systemweiten Nutzung? Was ist das denn eine 'SuSE-Maschine'? openSUSE? SLES? SLED? Welche Version?

Eine aktuelle Installation von 15.1.

Und was ist eine 'systemweite Nutzung' einer CA? So etwas gibt es IMHO nicht. (Auch unter Windows nicht!)

Doch, geht der Information nach mit Windows 10 und Apple OS. Dort holen sich die Standardbrowser das eBlocker-Zertifikat zur Behandlung von HTTPS-Verbindungen aus dem Zertifikatspeicher des Betriebssystems. Mit *buntu-Derivaten, so eine Auskunft aus der LUG, ist geht das dort analog einzurichten. Da muss es unter /usr/share/ca-certificates gespeichert und per dpkg-Befehl aktiviert werden. Browser wie Midori oder Opera können dieses Zertifikat dort auslesen und nutzen.

Das sieht arg nach MITM aus ...

Ich kann zu der technischen Seite bisher nicht viel sagen. Denn mehr als das was in verschiedenen Veröffentlichungen zu der eBlocker-Hardware, und dem Betriebssystem an sich geschrieben wurde kenne ich auch nicht. Dort war das Echo allerdings im allgemeinen recht positiv: Einfache, und auch durch Laien zu beherrschende, Lösung um Werbung und Tracker für ein gesamtes Heimnetzwerk zu kontrollieren, bei Bedarf auszuschließen. Erweitert z.B. mit Funktionen wie Tor-Integration für einzelne Geräte, oder einen Familien/Kinderfilter.

Du willst das sicher im Browser nutzen ... Dann musst Du uns sagen welche(n) Browser Du nutzt. (... und ggf. was Du sonst noch über diesen Service laufen lassen willst. (In Browsern gibt es im allgemeinen einen Punkt 'Zertifikat hinzufügen'.) Aber du bekommst ja eh eine Zertifikatswarnung bei einem unbekannten Zertifikat. Dort kannst Du es dann meistens auch direkt hinzufügen.

Ich kann mir morgen bei einem Freund einen Raspi borgen. Muss ich nur noch eine Stelle finden die mir eine SD-Karte verkauft. ;-) Ist ja z.Z. alles nicht so einfach! Dann packe ich das eBlocker System drauf und schaue mir es an. F.D. -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am Sun, 29 Mar 2020 10:18:45 +0200 schrieb Bernd Nachtigall :

Am 28.03.20 um 17:08 schrieb Florian Dietzsch: (...)

...

wie importiere ich auf einer SuSE-Maschine ein Root-Zertifikat, im konkreten Fall erzeugt von einer Hardware mit Namen "eBlocker"(1), zur systemweiten Nutzung? Was ist das denn eine 'SuSE-Maschine'? openSUSE? SLES? SLED? Welche Version?

Und was ist eine 'systemweite Nutzung' einer CA? So etwas gibt es IMHO nicht. (Auch unter Windows nicht!)

doch, das gibt es. in jedem privaten Netzwerk kann ich meine eigene X.509 Infrastruktur definieren und installieren. Es sei denn, dass Netzdienste auch Verbindungen zu externen Diensten aufnehmen müssen. Dann sollte die CA von einer zuverlässigen Authority benutzt. werden.

Jede Applikation nutzt den Zertifikatsspeicher der dort konfigurrt ist. Das KANN derselbe, oder auch ein anderer/eigener sein.

Nein, falsch. Jede Anwendung, die mit openSSL kompiliert worden ist, sucht die Certificate Authority in /etc/ssl. Es sein denn, die Konfiguration ermöglicht einen anderen Pfad, so alle netzwerkbasierten Anwendungen, wie z.B. Postfix, OpenLDAP, cyrus-ipmap etc.

...

Ein Link auf eine deutschsprachige Anleitung reicht mir schon.

[...]

-Dieter -- Dieter Klünter | Systemberatung http://sys4.de GPG Key ID: E9ED159B 53°37'09,95"N 10°08'02,42"E -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org

Am Sun, 29 Mar 2020 20:44:55 +0200 schrieb Dieter Klünter :

Am Sat, 28 Mar 2020 17:08:56 +0100 schrieb Florian Dietzsch :

...

Hallo Liste,

wie importiere ich auf einer SuSE-Maschine ein Root-Zertifikat, im konkreten Fall erzeugt von einer Hardware mit Namen "eBlocker"(1), zur systemweiten Nutzung?

Ein Link auf eine deutschsprachige Anleitung reicht mir schon.

Kopiere die CA nach /var/lib/ca-certificates dann mit openssl c_rehash den hash link auf /etc/ssl setzen.

https://www.openssl.org/docs/manmaster/man1/c_rehash.html

Ich muss mich korrigieren, c_rehash gibt es nicht mehr, OpenSSL hat eine rehash Funktion eingebaut, also cd /var/lib/certificates openssl rehash(1) -Dieter -- Dieter Klünter | Systemberatung http://sys4.de GPG Key ID: E9ED159B 53°37'09,95"N 10°08'02,42"E -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um den Listen Administrator zu erreichen, schicken Sie eine Mail an: opensuse-de+owner@opensuse.org