Skip to content

Lösung: Firefox Fehler- sec_error_ocsp_future_response

Hin und wieder tauchen im Firefox "komische" Fehlermeldungen beim Aufrufen von Webseiten auf.

Da es durch die Zeitumstellung gerade ganz gut passt, gehe ich heute auf folgende Browser Fehlermeldung ein:

Secure Connection Failed

An error occurred during a connection to xyz.com. The OCSP response is not yet valid (contains a date in the future) Error code: SEC_ERROR_OCSP_FUTURE_RESPONSE

    The page you are trying to view cannot be shown because the authenticity of the received data could not be verified.
    Please contact the website owners to inform them of this problem. Alternatively, use the command found in the help menu to report this broken site.


Fehler: Gesicherte Verbindung fehlgeschlagen

Ein Fehler ist während einer Verbindung mit xyz.com aufgetreten. Die OCSP-Antwort ist noch nicht gültig (enthält ein Datum in der Zukunft). (Fehlercode: sec_error_ocsp_future_response)

     Die Website kann nicht angezeigt werden, da die Authentizität der erhaltenen Daten nicht verifiziert werden konnte.
     Kontaktieren Sie bitte den Inhaber der Website, um ihn über dieses Problem zu informieren.

 

Lösung sec_error_ocsp_future_response

Der Browser zeigt diesen Fehler beim Aufrufen einer Seite im Netz an, weil schlicht und einfach das Datum oder die Uhrzeit des Systems nicht stimmen.

Dies lässt sich bekanntermaßen einfach beheben.

Ein Aufrufen und Anpassen der Windows Zeit Einstellungen kann mit Start --> Ausführen --> ms-settings:dateandtime erfolgen.

Unter Ubuntu reicht ein sudo date --set="2019-10-27 19:35:59.990" auf der Konsole aus. Allerdings sollte hier ebenfalls an die BIOS Uhrzeit gedacht werden sudo hwclock --systohc.

Sec-error-ocsp-future-responseHelfen die richtigen Systemeinstellungen nicht dauerhaft, kann die BIOS Batterie eine Ursache sein und muss getauscht werden.

Es soll vorkommen, dass Zeiteinstellungen im System nicht angepasst werden dürfen.

Um Webseiten im Firefox dennoch aufrufen zu können, kann das bemängelte OCSP temporär abgeschaltet werden. Doch was ist das eigentlich?

OCSP Stapling

Die Wikipedia schreibt dazu:

Online Certificate Status Protocol stapling, formell bekannt als die TLS-Zertifikatsstatusabfrage-Erweiterung, ist ein alternativer Ansatz zum Online Certificate Status Protocol (OCSP) um den Gültigkeitsstatus von digitalen Zertifikaten nach X.509 zu prüfen.Es ermöglicht dem Zertifizierten, die Aufgabe der Zertifikatsvalidierung zu übernehmen, indem er eine von der Zertifizierungsstelle signierte OCSP-Antwort mit Zeitstempel an den ursprünglichen TLS-Handshake anhängt („stapling“). Dieses Verfahren verringert den Kommunikationsaufwand zwischen Clients und Zertifizierungsstellen deutlich.

OCSP Stapling im Firefox deaktivieren

Der oben erwähnte OCSP Aufruf kann im Firefox deaktiviert werden.

  1. Mozilla Firefox öffnen.
  2. In der Adressleiste about:config eingeben und Enter drücken.
  3. Nach security.ssl.enable_ocsp_stapling suchen.
  4. Den Wert auf false setzen.

Kali Linux 2019.3 und Black Arch Linux 2019.09.01 veröffentlicht

Black Arch Linux

Das Entwicklungsteam hinter BlackArch Linux hat eine neue Version 2019.09.01 veröffentlicht, die zahlreiche neue Tools, aktualisierte Komponenten und verschiedene Verbesserungen enthält.

blackarchDie Hacking- und Penetrationstestdistribution läuft nun mit Kernel 5.2.9 und hat mehr als 150 neue Tools erhalten.

Der Installer wurde auf Version 1.1.19 angehoben und das Look and Feel verbessert.

Download


Kali Linux 2019.3

Beim Platzhirsch hat sich ebenfalls etwas getan. So betreibt Offensive Security seine Distribution nun ebenfalls mit Kernel 5.2.9.

Was 8chan verloren hat, hat Kali hinzugewonnen. Gemeint ist Cloudflare als Content Delivery Network. Sollte beim Aufruf von apt update die Domain kali.download angezeigt werden, werden die Dienste von Cloudflare in Anspruch genommen.

Die bereits in der Vergangenheit angekündigten Änderungen der Metapakete (mehr Infos hier ) wurden umgesetzt. 
Speziell dafür wurde ein Image erstellt, welches alle alten Pakete enthält. (kali-linux-large-2019.3-amd64.iso)

In Zukunft werden Tools in folgende Gruppen unterteilt:

  • Kali-linux-default – Tools, die unserer Meinung nach für einen Penetrationstester unerlässlich sind
  • Kali-linux-large – für Penetrationstester, mit einer größere Anzahl an Tools für nicht standardisierte Einsatzgebiete
  • Kali-linux-everything – für alle, die alles wollen (ohne Internetzugang während des Tests)

Zusätzlich wurden die üblichen Aktualisierungen eingespielt (Burp Suite, HostAPd-WPE, Hyperion, Kismet, Nmap), wobei amass neu dabei ist.

 

Kali_Linux

 

Erst vor kurzem hatte ich den neuen Kali App Store vorgestellt. Mit dem aktuellen Release hat Kali Linux die Unterstützung für mobile Geräte weiter ausgebaut und unterstützt nun zusätzlich diese Modelle

  • LG V20 International Edition
  • Nexus 5X
  • Nexus 10
  • OnePlus 7

Letzteres zählt nun zu den offiziellen Standardgeräten für die mobile Kali Linux Variante.

Das Image Portfolio wurde zusätzlich auf Geräte von PINEBOOK ($99 Notebooks), sowie den Platinen von Gateworks (Ventana) erweitert.

Der neue Raspberry Pi 4 wird natürlich ebenfalls unterstützt.

 

Download



Übersicht 09/2019

 

Name Version Tools Besonderes Basis GUI
Autopsy 4.11.0 ??? The Sleuth Kit Windows  
BackBox 6.0 100+ AWS Ubuntu Xfce
BlackArch 2019.09.01 1750+ ArchLinux ArchLinux Gnome
CAINE 10 100+ WinUFO Ubuntu Mate
DracOS 3.0 100+ CLI LFS DWM
DEFT Zero 2018.2 250+ Mac Support Lubuntu 14.04 Lxde
Kali Linux 2019.3 300+ ARM fähig Debian Testing Multi
Kali App Store   20+   Android  
LionSec 5.0 ??? 3 Jahre alt Ubuntu  
Matriux v3 RC1 300+ out of date Debian Gnome
NST 28 ??? Server integriert Fedora  
NetSecL OS 6.0 50+   OpenSuse Lxde
Paladin 7.0 30+   Ubuntu  
Parrot Sec 4.7 (beta) 700+ Cloud fähig Debian Buster MATE/KDE
Pentoo 2018.0 RC7.1 ??? 64bit Gentoo Xfce
Ronin   150+ out of date Lubuntu Lxde
Sans SIFT 3.0 20+   Ubuntu  

 

Distrotest.net – über 200 Linux Versionen online testen

Linux Distributionen gibt es bekanntlich einige und die Auswahl welche Version nun die richtige für die aktuellen Anforderungen oder den eigenen Geschmack sein soll, fällt durchaus mal schwer.

Normalerweise würde für einen ersten Test ein VMware oder Virtualbox Image heruntergeladen, das gewünschte System installiert und fertig ist das Testsystem.

Doch dies nimmt Zeit in Anspruch und es müssen Images heruntergeladen werden.

DistroTest.netDiesen Vorgang wollen die Jungs von Distrotest.net vereinfachen.

Distrotest.net

ist ein Service der momentan 753 Versionen von 234 verschiedenen Betriebssystemen online anbietet. (komplette Liste)

Das Prinzip ist mehr als simpel. Gewünschtes System aussuchen, in eine Warteschlange einreihen und los geht es mit dem Online Linux Test. Möglich macht dies eine Mischung aus Debian und QEMU.

Allerdings gibt es teilweise starke Perfomanceunterschiede bei den einzelnen Systemen.

Ein Alpine ist in wenigen Sekunden verfügbar, ein Elementary OS lädt sich quasi tot, ein OpenSUSE andererseits funktioniert wieder recht flüssig.

DistroTest.net-suse

Die einzelnen Systeme werden über ein intergrierten noVNC Viewer angesteuert. Es kann allerdings auch auf eigene Clients zurückgergriffen werden. Die benötigten Logindaten sind auf der Webseite gelistet.

Da die Images in einem extra Fenster starten, sollten Popup Blocker deaktiviert werden.

Auch die Laufzeit ist begrenzt, kann aber individuell verlängert werden,wenn gewünscht.

Fazit

Ein Service der diese Masse an Linux/Unix Systemen online zur Verfügung stellt ist ohne Zweifel aller Ehren wert.

Allerdings hat der Service, wie oben bereits erwähnt, durchaus seine Schwankungen. Es kann vorkommen, dass der Server überlastet ist und eine lange Wartezeit in Kauf genommen werden muss.

Das Laden der Images dauert ebenfalls manchmal seine Zeit und stellt sich je nach Distribution als quälend langsam heraus. Hier ist noch Luft nach oben. (Es darf gespendet werden)

Distrotest richtet sich an Interessierte, welche mal einen Blick auf das bunte Linux Universum richten möchten, ohne sich mit der Installation und virtuellen Images auseinandersetzen zu müssen.

Distrotest.net

 

Kali Security Android App Store - Network Security Toolkit 30 - BackBox 6.0

Nach einer kurzen Sommerpause gibt es auf ITrig in unregelmäßigen Abständen wieder ein paar Artikel.

Network Security Toolkit 30

Als einer der wenigen Fedora Vertreter im Bereich der Sicherheitsdistributionen hat NST mit Version 30 eine neue Version des Network Security Toolkit aufgelegt.

NSTViele Funktionen lassen sich in NST über den Browser bedienen, das sogenannte NST WUI.

Die neueste Version des Web User Interfaces unterstützt neben bekannten Sicherheits- und Netzwerktools die Geolokalisierung von Fotos und Videos.

Eine Untersuchung von Daten wird dank des Exif Tool und den vorhandenen Metadaten mit dem NST Mapping Tools noch einfacher.

Der NST WUI Directory Browser wurde auf diese neuen Funktionalitäten ebenfalls angepasst.

nst-geolocationDazu kamen weitere Änderungen, welche im Changelog nachgelesen werden können.

Download


Parrot Security 4.7 (Beta)

Kleine Meldung zwischendrin. Parrot arbeitet fleißig an Aktualisierungen und hat bereits die nächste Beta veröffentlicht.

 

Download


BackBox 6.0

Eine weitere Distribution hat ihre Pakete aktualisiert. So arbeitet BackBox nun mit Kernel 4.18.

Dazu wurden die üblichen Updates gefahren, um am Ball zu bleiben.

Download


Kali NetHunter App Store

Für den immer größeren mobilen Bereich stellt Kali Linux nun einen eigenen App Store für seine NetHunter Editionen bereit.

Mit dem letzten Update (2019.2) wurde die Unterstützung auf ganze 50 Geräte erweitert.

Der Store basiert auf dem bekannten F-Droid Store allerdings ohne Telemetrie und bietet Apps aus dem Securitybereich für Android Telefone an.

Kali_NetHunter_App_Store

Natürlich handelt es sich um freie Apps, welche allerdings teilweise ein gerootetes Gerät voraussetzen.

Die Liste der angebotenen Android Anwendungen wächst stetig an:

  • aLogcat - View system and app log
  • bVNC Pro - Secure, open source VNC client
  • ConnectBot - SSH and local shell client
  • cSploit - The most complete and advanced IT security professional toolkit on Android
  • DriveDroid - Boot your PC from ISO/IMG files stored on your phone
  • Hacker's Keyboard - The ultimate virtual keyboard for hackers
  • Hash Droid - Verify file integrity
  • Hijacker - All-in-one WiFi cracking tools
  • Intercepter-NG - Multifunctional network toolkit
  • LTE Discovery - Powerful signal discovery and analysis tool
  • NetHunter - NetHunter installer, updater, and interface for Kali Linux on Android
  • NetHunter Store - NetHunter Store client
  • NetHunter Terminal - Kali Linux command line shell
  • NetHunter VNC - GUI desktop experience for Kali Linux on Android
  • NetHunterStore Privileged Extension - Services to allow NetHunter Store to securely install and update apps
  • Nexmon - Install a WiFi firmware that enables monitor mode and frame injection on support
  • OONI Probe - Open Observatory of Network Interference (OONI)
  • OpenVPN for Android - OpenVPN without root
  • Orbot - Proxy with Tor
  • PixelKnot - Hide Messages
  • RF Analyzer - RF spectrum visualizer for HackRF/RTL-SDR
  • Router Keygen - Recover your keys for your wifi network
  • Rtl-sdr driver - Allows you to use I/Q packet source in your Android applications.
  • Shodan - World's first search engine for Internet-connected devices
  • SnoopSnitch - Check mobile network security
  • SysLog - Capture log files
  • USB Keyboard - Android device as USB keyboard/mouse
  • Walrus - Use your existing contactless card cloning devices with your Android device
  • WHID Injector - WHID Mobile Connector
  • WiGLE WiFi Wardriving - Network observation, positioning, and display client

Welche der Anwendungen root Rechte benötigen müsst ihr den Beschreibungen entnehmen.

Manche Apps, wie zum Beispiel WiGLE WiFi Wardriving können auch klassisch über den Play Store bezogen werden, wenn gewünscht.

Download



Übersicht 08/2019

 

Name Version Tools Besonderes Basis GUI
Autopsy 4.11.0 ??? The Sleuth Kit Windows  
BackBox 6.0 100+ AWS Ubuntu Xfce
BlackArch 2019.06.01 1750+ ArchLinux ArchLinux Gnome
CAINE 10 100+ WinUFO Ubuntu Mate
DracOS 3.0 100+ CLI LFS DWM
DEFT Zero 2018.2 250+ Mac Support Lubuntu 14.04 Lxde
Kali Linux 2019.2 300+ ARM fähig Debian Testing Multi
Kali App Store   20+   Android  
LionSec 5.0 ??? 3 Jahre alt Ubuntu  
Matriux v3 RC1 300+ out of date Debian Gnome
NST 28 ??? Server integriert Fedora  
NetSecL OS 6.0 50+   OpenSuse Lxde
Paladin 7.0 30+   Ubuntu  
Parrot Sec 4.7 (beta) 700+ Cloud fähig Debian Buster MATE/KDE
Pentoo 2018.0 RC7.1 ??? 64bit Gentoo Xfce
Ronin   150+ out of date Lubuntu Lxde
Sans SIFT 3.0 20+   Ubuntu  

 

Mozilla SSL Configuration Generator - Neue Version unterstützt Postfix, PostgreSQL, MySQL, Oracle und Caddy

Es ist lange her, als ich das erste Mal über den Mozilla SSL Configuration Generator geschrieben hatte (ganze 4 Jahre um genau zu sein).

Bereits damals hatte ich mir gewünscht, dass auch Server wie Postfix unterstützt werden. Dieser Wunsch wurde nun erfüllt, denn es gab ein umfangreiches Update  ( thx @ aprilmpls )

mozilla-logo

Mozilla SSL Configuration Generator

Wie der Überschrift bereits entnommen werden konnte, sind neben den üblichen Verdächtigen nun auch weitere Systeme dabei. Folgende SSL/TLS Sicherheitseinstellungen können nun via Generator erstellt werden:

  • Apache
  • Nginx
  • Lighthttpd
  • HAProxy
  • AWS Elastic Load Balancer
  • Caddy
  • MySQL
  • Oracle HTTP Server
  • Postfix
  • PostgreSQL 

Die einzelnen Kategorien modern, intermediate und old haben Beschreibungen erhalten und erschließen sich dem Laien somit etwas besser. So wird bei der modernen Variante explizit TLS 1.3 erwähnt und die nicht vorhandene Abwärtskompatibilität beschrieben.

Die Versionsauswahl bei Server oder SSL kann weiterhin händisch eingegeben werden. 

Mozilla_SSL_Configuration_Generator

Zusätzliche Optionen wie HSTS oder OCSP Stapling sind in den Standardeinstellungen aktiv. Hier muss nichts angepasst werden, da der Generator alte Server Versionen erkennt und die Optionen automatisch nicht in der generierten Datei auflistet (SSLUseStapling On).

Bei Konfigurationen für Mail- oder Datenbankserver sind diese Auswahlmöglichkeiten ohnehin ausgegraut.

Generator generiert

Die neu generierten Konfigurationen haben dazugelernt. So wird bei der Apache oder Nginx Konfiguration automatisch der HTTP zu HTTPS Rewrite mit aufgeführt. Auch werden das Erstelldatum, so wie die benötigten Module als Kommentar aufgeführt, was für viele sicherlich eine zusätzliche Hilfe darstellt.

Bei der Postfix wird keine TLS Verschlüsselung erzwungen, hier wird immer ein "Verschlüsselung wenn möglich" vorgeschlagen.

Unterstützung

Bereits beim älteren Generator wurden die unterstützten Browser aufgelistet. Diese wurden um Android und Edge ergänzt.

Fazit

Die neue Version des Mozilla SSL Configuration Generator hat im Vergleich zum Vorgänger viele kleine Verbesserungen erhalten, siehe der Kopierbutton am Ende der Konfigurationsdateien. Die Unterstützung für Postfix, PostgreSQL und Co erweitert die Breite ungemein. Mit der Unterstützung für TLS 1.3 wird das Tool auch in Zukunft praktisch sein. Sei es als Orientierung oder Beispiel für eigene Serverkonfigurationen.

https://ssl-config.mozilla.org