Version 2

basic-tls

HTTPS mit Let's Encrypt und Nginx-Defaults. Verschlüsselt, aber ungehärtet.

Diese Seite wird über TLS auf Port 443 ausgeliefert. Das Zertifikat kommt von Let's Encrypt (Domain Validated). Nginx läuft mit seinen Standard-TLS-Einstellungen — keine bewusst getroffene Auswahl von Protokollen oder Cipher-Suites.

Was das schon bringt:

Die Verbindung ist verschlüsselt — passives Mitlesen im Klartext ist unterbunden.
Das Zertifikat einer anerkannten CA belegt: dieser Server gehört zu dieser Domain.
Der Browser zeigt das Schloss, HTTP wird automatisch auf HTTPS umgeleitet.

Was noch fehlt (siehe hardened):

Kein HSTS — beim ersten Besuch könnte der Browser noch auf HTTP umgeleitet werden.
Ältere TLS-Protokolle sind je nach Default eventuell noch erlaubt.
Keine Security-Header wie Content-Security-Policy oder X-Frame-Options.
Server-Version steht offen im Server-Header.

Selbst nachmessen

Antwort-Header ansehen

curl -sI https://basic-tls.ebrus-lab.de

Redirect von HTTP auf HTTPS

curl -sIL http://basic-tls.ebrus-lab.de | grep -E 'HTTP|Location'

Ausgehandeltes Protokoll und Cipher

echo | openssl s_client -connect basic-tls.ebrus-lab.de:443 -servername basic-tls.ebrus-lab.de 2>/dev/null | grep -E 'Protocol|Cipher'

Zertifikat inspizieren

echo | openssl s_client -connect basic-tls.ebrus-lab.de:443 -servername basic-tls.ebrus-lab.de 2>/dev/null | openssl x509 -noout -subject -issuer -dates