Dotaz: Android a Bitwarden self-hosted, problem s certifikatom

[iko]

zdravim

nainstaloval som Bitwarden do dockeru cez ich instalator, on mi vygeneroval self signed certifikat s varovanim

!!!!!!!!!! WARNING !!!!!!!!!! You are using an untrusted SSL certificate. This certificate will not be trusted by Bitwarden client applications. You must add this certificate to the trusted store on each device or else you will receive errors when trying to connect to your installation.

Ktory subor mam importovat do androidu aby mi chodila ich aplikacia?

Vdaka...

Odpovědi

[Peter Golis]

Keď som si zadal do vyhľadávača bitwarden self signed certificate, tak mi to na prvom mieste odporučilo Certificate Options ktorý začínal použitím vlastného certifikátu od certifikačnej autority Let's Encrypt. Nebude to jednoduchšie riešenie? Odpadlo by ručné importovanie vlastných certifikátov.

I keď v niektorých prípadoch to nebude riešením. Menovite vtedy, ak fyzická alebo právnická osoba z nejakého dôvodu nemôže delegovať zodpovednosť na niekoho iného.

[iko]

To ano, ale chcem to pouzivat len v lokalnej sieti cez IP adresu, nie domenove meno.

[Peter Golis]

A pozrel si si ten link na návod? Asi nie, pretože je tam niečo o .crt

[Max]

Přes IP adresu asi těžko, to ti je pak nějaký certifikát k prdu (přes ten si IP neověříš, jen jméno). Musíš používat nejlépe přes FQDN a do koncových zařízení nahrát patřičný CA, kterým byl vygenerován cert.
Zdar Max

[pavele]

Proč by nešla použít IP adresa?

Sám jsem to tak několik let používal ve vnitřní síti.

Do koncových PC se nahraje certifikát a hotovo.

[Max]

IP adresa nejde ověřit, však to píšu, v certifikátu máš FQDN. Web prohlížeč to bude vždy vnímat nedůvěryhodně a slušné aplikace také.
Zdar Max

[tttttttttttttttttttt]

To není pravda, v certifikátu je to, co si tam dám. RFC 5280 dovoluje mít v subjectAltName i IP adresu a prohlížeče to normálně vezmou, stejně jako kdyby tam bylo FQDN. Zkoušel jsem firefox, chromium a curl, vše prošlo. Problém nejspíš bude až s IP adresou s privátního rozsahu, to myslím povolené není.

[iko]

s webom na https nemam problem, ale android klient na mna hulaka a nefunguje

[Max]

My se ale bavíme o tom, že to provozuje v lokálním rozsahu.
Zdar Max

[majales]

Pokud může udělat záznam do domény dá se vygenerovat platný letsencrypt cert i pro záznam jehož IP je v interní síti. Akorát to nejde přes web, ale přes acme-dns.

[Jendа]

Mimochodem normálně ve světě je taková věc k vidění třeba na https://1.1.1.1/.

[Radek]

A co třeba DoH? Jak by se to asi ověřovalo?

[iko]

Nikto to takto neprevadzkuje?

[Max]

Já to v on-prem provozuji proti vlastní CA, ale používám fqdn a né IP adresu. Vůbec ani nevidím jediný důvod, proč bych neměl FQDN používat. Naopak, IP sebou nese hafec problémů jako změna IP služby, problémy s důvěryhodností cert (podle toho, jak se kdo u konkrétní app rozhodne), problém s ipv6 (datlovat někam ipv6 místo jednoduchého fqdn) apod.
Zdar Max

[Max]

A ještě důkaz, místo slibů: Bitwarden: Nejlepší správce hesel?
Zdar Max

[ET]

S IP adresou v certifikatu zadny problem neni (ani s privatni, ani s zadnou jinou), jak tady pise Max a spravne demonstruje Jenda, pouzivam to tak roky s vlastni CA a nikdy s tim problem nebyl... (ze to nejak "omezuje" Lets encrypt neni omezeni certifikatu)

1/ Musis kouknout (treba pres browser), co v tom tvem certifikatu vlastne mas (popr. ho sem nahraj v base64) a pokud tam neni IP, tak musis vygenerovat novy s IP adresouv v SAN.

2/ V pripade self-signed certu ho musis v androidu nainstalovat do korenovych (v pripade CA musis doinstalovat "korenac")

BTW: Uvedeny postup funguje v prohlizecich, BW neznam a nerucim, ze to bude fungovat. Nevim jak to ma android ted a jestli to nebyla "featura" vyrobce, ale pred lety se zobrazoval warning pokud si mel v korenovych vlastni cert

[Radek]

ono by ani jinak nemohli fungovat DoH servery, včetně lokální proxy.

[robac]

Provozuji (bez problemu) v Dockeru:

• vaultwarden/server
• jwilder/nginx-proxy
• jrcs/letsencrypt-nginx-proxy-companion

Se vsemi BW klienty (Android, Win, Mac) funguje bez problemu. Samozrejme s verejnou IP.

[jojo2]

Riesil som tiez nedavno spravcu hesiel a rozhodol som sa pre vaultwarden v dockeru. Tak isto to mam nasadene v LAN a z vonka sa pripajam cez VPN. Kedze zatial bezim s mobilom na android 6, tak bitwarden aplikacia nevyplnuje udaje z apky. Avsak na mobile to velmi casto nepouzivam.

Mam to na lokalnej subdomene a certifikat som riesil cez lets encrypt dns 01 challenge. Na automaticku renovaciu cert. je potrebny txt zaznam na DNS, takze riesit to rucne, alebo skriptom, ak to prevadzkovatel DNS podporuje.

[IV]

Presne tak sa to robi a ma robit v lokalnej sieti. Wildcard cert cez dns validaciu a nie je potom nutna ziadna akcia na klientoch.