Bei der Einrichtung werden alle Passwörter präsentiert - noch

Zum Abschluss der Einrichtung wird der Nutzer unvermittelt mit einer Übersicht aller vergebenen Passwörter für die Administration der Benutzeroberfläche und des WLAN konfrontiert - im Klartext. Das finden wir weniger gelungen und würden es gut finden, wenn die Passwörter hier nur auf Wunsch angezeigt würden. Hersteller Comidio hat nach einem kurzen Hinweis von Golem.de angekündigt, diese Funktion in der nächsten Softwareversion zu überarbeiten.

Außerdem muss erneut ein lokal erzeugtes Zertifikat in alle mit der Trutzbox verwendeten Browser importiert werden, um eine Inspektion und Modifikation des HTTPS-Traffics zu ermöglichen. Wenn die Trutzbox auch auf mobilen Geräten genutzt werden soll, muss das Zertifikat auch dort installiert werden.

HTTPS-Inspektion auch auf mobilen Geräten

• 

Comidio erklärt die Einrichtung auch für Einsteiger nachvollziehbar. (Bild: Comidio - mit freundlicher Genehmigung)

Soll ein mobiles Gerät nach der Einrichtung der Trutzbox hinzugefügt werden, ist nicht auf den ersten Blick ersichtlich, wie das geschieht. Nutzer müssen von dem Gerät aus die Administrationsoberfläche ansurfen und dann den Punkt Trutzbox-Filter aufrufen. Entsprechende Anleitungen gibt es auch im Trutzbox-Handbuch für Android und iOS.

Unter "Filter-Konfigurieren" kann dann das Root-Zertifikat heruntergeladen werden, dieses wird dann nach Eingabe der PIN in den Zertifikatsspeicher von Android übernommen. Wer auf dem Smartphone Firefox nutzt, muss das Zertifikat dort erneut hinzufügen, weil der Browser seine Zertifikate selbst verwaltet.

Auch unter iOS funktioniert der Import selbst ohne Probleme. TLS-verschlüsselte Seiten mit aktiviertem HSTS lassen sich bei uns dennoch nicht aufrufen - warum, das lässt sich nicht feststellen, da Safari nur eine sehr allgemeine Fehlermeldung ohne Details ausgibt.

Grundsätzlich stehen wir Man-In-The-Middle-Boxen kritisch gegenüber. Comidio hat die Funktion jedoch ohne offensichtliche Fehler umgesetzt: Das Zertifikat wird auf dem Gerät selbst erstellt und ist somit einzigartig, auch der Hersteller hat keinen Zugriff darauf. Bei der Verschlüsselung kommen unsichere Verfahren wie SSLv3 nicht zum Einsatz, der Browser-Check von Qualys findet nur einige nicht optimale Ciphern. Wie erwartet, werden allerdings weder OCSP-Stapling noch HPKP (Public Key Pinning Extension für HTTP) unterstützt.

Das kann zu Problemen führen: Im Test konnten wir von unserem Smartphone im WLAN der Trutzbox etwa keine Signal-Nachrichten versenden, weil Signal ein selbst signiertes, gepinntes Zertifikat verwendet und die Verbindung ablehnt. Auch einige Google-Dienste produzieren im Hintergrund Fehlermeldungen, die wir im Log der Trutzbox einsehen können. Hier müsste die Trutzbox die Original-Zertifikate durchreichen, um Fehler zu vermeiden.

Freunde von IPv6 kommen mit der Trutzbox zumindest derzeit noch nicht auf ihre Kosten: Das Gerät unterstützt den Standard nicht. Bei Problemen mit der Internetverbindung empfiehlt Comidio daher, IPv6 im Router zu deaktivieren.

Mailserver an Bord

Wie schon der Vorgänger, bietet die neue Trutzbox einen eigenen Mailserver an. Nutzer können sich eine E-Mail-Adresse mit der Endung @comidio.email erstellen, die künftig auf der Box selbst verwaltet wird. Im Paket sind bis zu fünf Adressen enthalten. Nachrichten innerhalb des Comidio-Netzwerkes werden dabei automatisch Ende-zu-Ende-verschlüsselt, auch die Metadaten werden nach Angaben des Herstellers verschlüsselt. Die Schlüsselverwaltung wird von Comidio übernommen und benötigt in diesem Fall keinen Eingriff durch den Nutzer.

Neu ist die Unterstützung für die Verwaltung externer PGP-Schlüssel. Bei der Verwendung dieser Funktion sind die üblichen Limitierungen von PGP, insbesondere der unverschlüsselte Betreff und die nicht verschlüsselten Metadaten zu beachten. Wer Nachrichten an externe Nutzer versenden will, muss vorher ein SMTP-Gateway eines anderen Mailproviders einrichten. Die verwendete Webmail-Oberfläche stammt von Roundcube.

Etwas unpraktisch ist dabei, dass die Schlüsselverwaltung in einem anderen Interface stattfindet, als die Verwaltung der Mails. Denn öffentliche PGP-Schlüssel müssen über das Webinterface der Trutzbox hinzugefügt werden, während der Roundcube-Webmailer eine eigene Webanwendung ist.