Lokaler TLS-Security-Scan - interne Server von A+ bis F bewerten
Ein privater TLS-Scan vom eigenen Rechner: Protokollversionen, Cipher Suites, Zertifikat und HTTP-Sicherheitsheader, bewertet von A+ bis F wie der Scanner von aethercert.com.
Der Security Scan bewertet einen TLS-Endpunkt von A+ bis F: welche TLS-Versionen er annimmt, welche Cipher Suites, ob sein Zertifikat gültig und vertrauenswürdig ist und welche HTTP-Sicherheitsheader er sendet. Es ist der Security Scan von aethercert.com, ausgeführt auf Ihrem Rechner - gleiche Bewertung, gleiche Befundcodes, mit zwei Abweichungen in der Bewertung (HSTS, Zertifikatssignatur; siehe unten). Damit funktioniert er dort, wo der öffentliche Scanner nicht hinkommt: interne Hostnamen, private IP-Adressen, beliebige Ports und andere Dienste als HTTPS. Ein privater TLS-Scan: Das Ergebnis bleibt auf Ihrem Rechner.
Auf der Kommandozeile ist es actk security.
Aus dem Zertifikatscanner öffnet
Security Scan starten einen Endpunkt direkt hier.
Scan starten
| Feld | Eingabe |
|---|---|
| Host oder URL | intranet.corp.local, 10.0.0.25 oder https://portal.corp.local:8443/login |
| Port | 443, sofern die URL nichts anderes angibt |
| Servername (SNI) | Optional. Der Name, der angefragt und gegen den das Zertifikat geprüft wird, wenn das Ziel eine IP-Adresse ist. |
| Protokoll | Automatisch (nach Port), oder TLS, SMTP STARTTLS, IMAP STARTTLS, POP3 STLS, FTP AUTH TLS, RDP |
| Prüfungen | TLS & Zertifikat und HTTP-Sicherheitsheader - eine abwählen, um sie auszulassen |
Scannen verbindet sich, liest das Zertifikat, testet Protokollversionen und Cipher Suites, prüft die HTTP-Header und bewertet das Ergebnis. Ein Endpunkt dauert Sekunden.
Ergebnis lesen
Die Zusammenfassung zeigt die Gesamtnote, die Punkte von 100 und den Zeitpunkt des Scans. Die Tabs enthalten die Details: Übersicht, TLS, Zertifikat, HTTP-Header und Rohdaten (das JSON, das JSON exportieren … schreibt).
Befunde sind nach Gewicht sortiert - bestätigte Schwachstelle, dann Warnung, dann nicht verifiziert - und jeder bringt eine Empfehlung mit, zum Beispiel:
| Befund | Empfehlung |
|---|---|
| Der Server akzeptiert weiterhin TLS 1.0 und/oder TLS 1.1 | TLS 1.0 und 1.1 deaktivieren (Windows: SCHANNEL-Registry oder IIS Crypto; nginx: ssl_protocols TLSv1.2 TLSv1.3). |
| Der Zertifikatskette wird von gängigen Trust Stores nicht vertraut | Den Server die Zwischenzertifikate mitsenden lassen (vollständige Kette); bei einer internen CA deren Stamm an die Clients verteilen. |
| Das Zertifikat deckt den gescannten Hostnamen nicht ab | Ein Zertifikat ausstellen, das diesen Host als SAN nennt, oder mit einem Namen verbinden, den das Zertifikat abdeckt. |
| Der Server akzeptiert unsichere Cipher Suites | Die genannten Suites (RC4, 3DES, NULL, EXPORT) auf dem Server deaktivieren. |
| Kein Strict-Transport-Security-Header | Strict-Transport-Security: max-age=31536000 senden. |
Ein Protokollergebnis ist verifiziert, unbekannt (die Prüfung wurde nicht abgeschlossen - meist unterbricht eine Firewall oder ein IPS den Handshake) oder nicht getestet. Ein unbekanntes Ergebnis erscheint als Befund zum Nachprüfen, kostet aber keine Punkte: Eine abgebrochene Prüfung belegt keine Schwachstelle.
Wie die Note entsteht
Jede Kategorie startet mit 100 Punkten. Befunde ziehen Punkte ab, schwere Befunde deckeln zusätzlich die Punktzahl - ein gravierendes Problem lässt sich also nicht durch gute Werte an anderer Stelle ausgleichen.
| Note | Punkte |
|---|---|
| A+ | 97-100 |
| A | 90-96 |
| A- | 80-89 |
| B | 70-79 |
| C | 55-69 |
| D | 40-54 |
| F | unter 40 |
| Befund | Deckelt die TLS-Note bei |
|---|---|
| Zertifikat abgelaufen oder Hostname nicht abgedeckt | F |
| Weder TLS 1.2 noch TLS 1.3 unterstützt | F |
| Unsichere Cipher Suites oder ein RSA-Schlüssel unter 2048 Bit | D |
| Selbstsigniert oder nicht vertrauenswürdige Kette, oder eine SHA-1/MD5-Zertifikatssignatur | C |
| TLS 1.0 oder 1.1 akzeptiert | B |
Die Gesamtpunktzahl gewichtet TLS und Zertifikat mit 3, HTTP-Header mit 2.
TLS 1.0 und 1.1 sowie schwache Cipher Suites werden mit einem selbst gebauten ClientHello geprüft: Die Antwort des Servers beantwortet die Frage, ein Schlüsselaustausch findet nie statt.
Unterschiede zum Security Scan von aethercert.com
| aethercert.com | Toolkit | |
|---|---|---|
| Läuft auf | Servern von aethercert, über das Internet | Ihrem Rechner, in Ihrem Netz |
| Ziele | Öffentliche Hostnamen | Jeder Host, jede IP-Adresse, jeder Port |
| Dienste | HTTPS und Mail | HTTPS, LDAPS, RDP, SMTP/IMAP/POP3 STARTTLS, FTP, jeder TLS-Port |
| HSTS | Immer bewertet | Nur bei Diensten bewertet, die HTTP sprechen - LDAPS oder RDP können den Header nicht senden |
| Zertifikatssignatur | Nicht ausgelesen | Eine SHA-1- oder MD5-Signatur ist ein Befund |
| Ergebnis | Eine Berichtsseite auf aethercert.com | Nur auf Ihrem Bildschirm und im JSON, das Sie exportieren |
Export
JSON exportieren … schreibt das Ergebnis im Format aethercert.toolkit.security-scan/v1,
feldkompatibel mit den Ergebnissen des öffentlichen Scanners - siehe
Berichtsformate.
Zertifikatscanner - TLS-Zertifikate im internen Netz finden
Private Netze, CIDR-Bereiche und Ports nach TLS-Zertifikaten durchsuchen - HTTPS, LDAPS, RDP, SMTP STARTTLS - und ein Ablauf-Inventar als CSV oder JSON exportieren. Läuft lokal.
actk-Kommandozeilenreferenz
Jeder actk-Befehl und jede Option: CSR per Kommandozeile erstellen, PFX bauen, Code signieren, den Windows-Zertifikatspeicher verwalten, Netze scannen und TLS bewerten.