Wenn wir mal davon ausgehen, dass wohl die wenigsten User ein eigenes Zertifikat installieren wollen bzw. können, dann macht es auch wirklich Sinn, wenn das selbst generierte Zertifikat der Box (vermutlich!) beim ersten Start mit einer neuen Firmware immer wieder neu generiert wird.
Ich meinte, daß bei mir das "benutzerdefinierte"(!) durch ein "boxgeneriertes" ersetzt wurde beim Update ... wenn ich nicht nur auf der "Probierbox" nach dem letzten Werksreset den Import vergessen habe (glaube ich aber nicht).
Wie soll denn für ONU dieses Zertifikat sonst "ab und an" erneuert werden? Oder soll AVM etwa ein dauerhaftes Zertifikat einbauen? Das wäre ja wohl auch nicht im Sinne des Erfinders.
Das wäre ein Argument, wenn nicht ohnehin als "Ablaufdatum" in einem boxgenerierten Zertifikat "max(time)" (also -1) verwendet würde (irgendwann in 23,5 Jahren).
Bei einem benutzerdefinierten Zertifikat macht das (im Moment von mir mutmaßte) Ersetzen durch ein anderes selbstgeneriertes Zertifikat beim Firmware-Update mal gar keinen Sinn, da sind wir uns sicher einig.
Aber auch bei einem "boxgenerierten" Zertifikat wird mit dem Ersetzen beim Firmware-Update der Zweck eines Zertifikats glatt verfehlt. Wenn man nach jedem Firmware-Update das "Vertrauen" neu definieren muß, ist das für mich absolut kein Unterschied zur alten Vorgehensweise, die - solange die Box das Zertifikat selbst generiert hat - bis zur vorherigen Labor-Version auch immer noch so beibehalten wurde (die heutige konnte ich noch nicht testen, es gibt noch genug andere offene Baustellen).
Da war ja dann bei der alten Art und Weise noch mehr "Kontinuität" in den Zertifikaten vorhanden, denn da wurde nur ein neues Zertifikat generiert (für HTTPS, das FTPS-Zertifikat war per Definition "volatile"), wenn sich eine Einstellung änderte, die für "Subject Alternate Name"-Werte von Bedeutung war. Das waren (wenn ich nichts vergessen habe) die My!Fritz-Anmeldung, die DynDNS-Einstellungen (da nervte es mich richtig) und der "Fritz!Box-Name". Jede Änderung an diesen Einstellungen führte (bis zur letzten Labor noch) zu einem neuen Zertifikat.
Wenn dann noch die neue Auto-Update-Funktion eine neue Firmware installiert und dabei ein neues Zertifikat generiert wird, kann man ja aus der Ferne wieder nicht sicher sein, daß man auch wirklich mit
seiner eigenen Box redet, solange man kein
eigenes Zertifikat verwendet.
Abgesehen davon hatte ich irgendwie die vage Hoffnung, daß AVM in nächster Zeit auch in den Smartphone- und Tablet-Apps mal dazu übergeht, Zertifikat-Änderungen nicht einfach stillschweigend zu schlucken und wenigstens 1-2x zu stutzen, wenn da eine "alte Bekannte" auf einmal mit einem neuen Zertifikat winkt. Von einem "Pairing" der Apps mit einem bestimmten Box-Zertifikat wage ich schon gar nicht mehr zu träumen ...
So haben sie das ohne erforderliche Nutzeraktionen mit den hoffentlich noch lange stattfindenden FW-Updates automatisch mit erledigt.
Wenn es nur um ein "renew" ginge, wäre das vielleicht eine Überlegung wert ... aber angesichts der "valid until"-Werte in den Zertifikaten kann das nicht der Beweggrund sein.
EDIT: Oh Mann, bis zum 16.01.2038 sind es ja schon nur noch 23,5 Jahre und nicht 26 Jahre ... die Zeit vergeht wie im Fluge.
