Vor einiger Zeit habe ich von NGINX Proxy Manager auf Zoraxy gewechselt. Dies auch aufgrund von Dennis’s Video.
Alles läuft soweit gut.
Nun habe ich diese Woche mit Greenbone (OpenVAS) mein System analysiert und festgestellt, dass ein SSL/TLS Risiko (Sweet32) gefunden wird und als „hoch“ eingestuft wurde. Nach etwas Recherche wurde festgestellt, dass weiterhin ein alter Verschlüsselungsalgorythmus verwendet wird, über welchen man die Verbindung abhören könnte (CVE-2016-2183).
Es gibt auch diverse Kommentare auf Github, jedoch verweist der Zoraxy Entwickler auf eine verwendete standard-library. Diese wiederum verweisen auf Go.
Es scheint, als würde das niemand ernst zu nehmen und ich bin etwas verunsichert.
Greenbone stuft dies als hoch ein, andere Quellen eher als medium. Bei NPM gibt es nur low Risiken.
Ich betreibe drei Services welche über den Proxy übers Internet verfügbar sind. Alle drei Services sind nur für mich zu verwenden.
…, sollte ich wieder auf NPM wechseln?
Summary
This routine reports all SSL/TLS cipher suites accepted by a service where attack vectors exists only on HTTPS services.
Detection Result
‚Vulnerable‘ cipher suites accepted by this service via the TLSv1.2 protocol: TLS_ECDHE_RSA_WITH_3DES_EDE_CBC_SHA (SWEET32)
Ich betreibe drei Services welche über den Proxy übers Internet verfügbar sind. Alle drei Services sind nur für mich zu verwenden.
…, sollte ich wieder auf NPM wechseln?
Du betreibst da dein eigenes Ding.
Wenn es keine „HighRisk Daten“ von dir oder DRITTEN sind dann ist es Latte. Wer will schon an die Daten, wie groß deine Socken sind oder was du so für eine Steuererklärung abgegeben hast… Das Interesse und der Aufwand dazu ist verschwindend gering. Niemand fängt an Massen an deinen Daten zu sammeln um dann die Chiper knacken zu können. Da müssen schon unzählige Datenmengen zusammen kommen.
Die Frage ist nur, wie gross der einzelne Paranoid-Faktor ist, respektive wie kritisch man eigenen Daten einstuft.
Das kannst nur du selber beantworten. Mir wär’s den Schritt zurück in jedem Fall wert.
Aber abgesehen davon exponiere ich auch keine Dienste im Internet - dafür gibt’s Wireguard, oder wer’s einfacher haben will Tailscale, Zerotier, Netbird usw.
Du sagst ja, ist eh nur für dich selber.
Wieso also nicht ein VPN nehmen?
Also mir wäre es egal. Damit überhaupt jemand einen Angriff auf die Verschlüsselung starten kann, müsse er erstmal mehrere GB / TB Traffic sammeln und kann dann erst ggf. etwas entschlüsseln…