Gast
#5767760
damit man im Browser des Desktoprechners die minimale Defaultversion von TLS auf mindestens 1.2 heraufsetzen kann und zwar so, ohne dass man das jedes mal ändern muss. Wie das geht, steht bspw. für Firefox hier drin: http://kb.mozillazine.org/Security.tls.version.*#Possible_values_and_their_effects Die verwendete TLS Version kann man sich in der Netzwerkanalyse von FF anzeigen lassen. Dazu auf "Extras > Web-Entwickler -> Netzwerkanalyse" drücken, die Seite gegebenenfalls neu laden und dann im rechten Fenster den Reiter "Sicherheit" anklicken. In der zweiten Zeile wird dann unter "Protokollversion" die verwendete TLS Version angezeigt. Kann euer Drucker oder Switch nur TLSv1 oder TLSv1.1, dann macht es Sinn, den Drucker hinter einen Proxy zu hängen und beim Switch gegebenenfalls über einen Austausch nachzudenken. Natürlich kann man die minimale TLS Version im Browser für das alltägliche Surfen trotzdem heraufsetzen, aber dann muss man sie jedes mal herabsetzen, sobald man das Webinterfaces eines dieser Geräte per HTTPS erreichen möchte. Mit einem HTTPS Proxy der zwischen Netzwerkdrucker und LAN hängt ist das aber einfacher, der kann nach außen dann TLSv1.3 verlangen und nach innen mit dem Drucker per TLSv1 kommunizieren. Außerdem eignet sich ein dedizierter kleiner Rechner dann auch als Druckerserver, der die Druckaufträge verschlüsselt vom LAN übernimmt und sie an den Drucker weiterzuleiten der vielleicht noch keine verschlüsselte Kommunikation für das Drucken versteht oder dessen Firmware nicht mehr supported wird. Leider erlaubt Firefox noch keine seitenspezifischen TLS Versionseinstellung unterhalb der minimalen default TLS Version. Wäre das möglich, dann könnte man für diese Geräte eine spezifische TLS Versions Konfiguration einstellen und für den Rest des Internets eine hohe TLS Version, z.b. 1.2 oder besser erzwingen. Eventuell kann man in Firefox aber auch einfach ein zweites Profil mit niedrigen TLS Defaulteinstellungen verwenden, getestet habe ich das aber nicht. Das Problem sind hier nämlich die Downgradeattacken, die eine Kommunikation so lange stören, bis der Browser eine niedrige TLS Version, z.b. TSLv.1 aushandelt, die der Angreifer dann mit relativ geringem Aufwand aushebeln kann. Im privaten LAN ist das zwar weniger ein Problem, aber im Internet ist das relevant und im Firmennetzwerk kann es auch relevant sein. Langfristig ist damit zu rechnen, dass die Browser die alten TLS Versionen gar nicht mehr unterstützen. Dann wird man ohnehin nicht um so einen Proxy herumkommen, wenn man die alte Hardware nicht austauschen möchte.