Hallo,
ich lese gerade über IT-Sicherheit und so und da fiel mir ein dass es schön wäre den abtreff auch über https (also verschlüsselt) erreichen zu können. Da ja bald ein Admin- und offensichtlich auch Serverwechsel ansteht erscheint es mir ein günstiger Zeitpunkt die Sache mal anzusprechen.
Aktuell präsentiert der Server ein Zertifikat welches nicht für abtreff.de gilt und leitet dann direkt wieder auf die unverschlüsselte Variante um - nicht so schön. Das Zertifikat bzw die kurzfristige verschlüsselte Verbindung ist nämlich eigentlich prima - der SSL Server Test sagt "Overall Rating if trust issues are ignored: A". Offensichtlich hat der aktuelle Hoster das im Griff, das Zertifikat dürfte (s)ein Standardding sein und das Verhalten (Umleitung direkt wieder auf unverschlüsselt) eine Standardkonfiguration.
Es wäre schön wenn Nasobem im Zuge der Umstellung sich der SSL-Sache mal widmen könnte.
Ich gehe vorsichtshalber mal direkt auf den Einwand "Wozu? Das Forum ist doch öffentlich!" ein: Erstmal ist längst nicht das ganze Forum öffentlich, bestimmte Unterforen und natürlich seine eigenen PNs können nur von einem eingeloggten User eingesehen werden. Wenn die Verbindung unverschlüsselt ist können alle Rechner über die die Daten laufen mitlesen. Außerdem können neugierige Menschen einem "über die Schulter" gucken wenn man ein öffentliches WLAN nutzt. Benutzername und Passwort werden beim Login im Klartext übertragen und selbst wenn man schon eingeloggt ist ist es bei einer unverschlüsselten Verbindung normalerweise ziemlich einfach die Session eines Users zu übernehmen (ungetestet!) - da gab es für Facebook(?) sogar mal ein FF-Addon für.
Was eventuelle Kosten angeht, meines Wissens gibt es auch kostenlose Zertifikate (aber bitte prüfen ob die großen Browser letzteren auch trauen). Diese garantieren nicht die Identität der Webseite (was im aktuellen Zustand auch nicht der Fall ist) aber wenigstens sind die Daten schon mal verschlüsselt.
SSL-Zugang ermöglichen
Forumsregeln
Forumsregeln
Bitte erstelle für jede Idee oder Vorschlag ein eigenes Thema mit einem aussagekräftigen Titel. Danke.
Forumsregeln
Bitte erstelle für jede Idee oder Vorschlag ein eigenes Thema mit einem aussagekräftigen Titel. Danke.
ERSTER BEITRAG DES THEMAS
-
- Bringt jede Tastatur zum Glühen
- Beiträge: 8851
- Registriert: 24 Apr 2015 18:22
- Geschlecht: männlich
- AB-Status: Hardcore AB
- Ich bin ...: nur an Frauen interessiert.
ERSTER BEITRAG DES THEMAS
Re: SSL-Zugang ermöglichen
Die Gefahr des Session-Hijacking ist im Forum tatsächlich gegeben, auch wenn sie in Zeiten flächendeckender WLAN-Verschlüsselung nicht wirklich groß ist.
Vielleicht wäre der Serverwechsel aber wirklich eine gute Gelegenheit. Es gibt mittlerweile kostenlose Dienste, die Zertifikate ausstellen, und auch die Einrichtung sehr einfach machen.
Ich kann da gerne ein paar Tipps geben.
Vielleicht wäre der Serverwechsel aber wirklich eine gute Gelegenheit. Es gibt mittlerweile kostenlose Dienste, die Zertifikate ausstellen, und auch die Einrichtung sehr einfach machen.
Ich kann da gerne ein paar Tipps geben.
-
- Bringt jede Tastatur zum Glühen
- Beiträge: 8851
- Registriert: 24 Apr 2015 18:22
- Geschlecht: männlich
- AB-Status: Hardcore AB
- Ich bin ...: nur an Frauen interessiert.
Re: SSL-Zugang ermöglichen
In einem öffentlichen WLAN ist die Gefahr imho ziemlich groß. Zuhause ist es sicher eine andere Sache, wobei ich befürchte dass es noch so einige nicht oder schlecht verschlüsselte WLANS gibt...Genosse Premier hat geschrieben:Die Gefahr des Session-Hijacking ist im Forum tatsächlich gegeben, auch wenn sie in Zeiten flächendeckender WLAN-Verschlüsselung nicht wirklich groß ist.
der Himmel brennt, die Engel fliehen
Re: SSL-Zugang ermöglichen
In öffentlichen Wlans ist das durchaus ein Thema, oder in Hotels usw wo manchmal infizierte Router usw rumstehen. Aber mal ganz davon abgesehen, in Zeiten von NSA und co sollte man denke ich so viel wie nur irgendwie möglich verschlüsseln und das ist bei der CPU Leistung heutiger Server dann ja im Grunde absolut kein Problem mehr, selbst bei Seiten die von sehr vielen Usern gleichzeitig genutzt werden.Genosse Premier hat geschrieben:Die Gefahr des Session-Hijacking ist im Forum tatsächlich gegeben, auch wenn sie in Zeiten flächendeckender WLAN-Verschlüsselung nicht wirklich groß ist.
Vielleicht wäre der Serverwechsel aber wirklich eine gute Gelegenheit. Es gibt mittlerweile kostenlose Dienste, die Zertifikate ausstellen, und auch die Einrichtung sehr einfach machen.
Ich kann da gerne ein paar Tipps geben.
In sofern kann ich mich dem nur anschließen, SSL hier im Forum zu aktivieren wäre wirklich eine feine Sache
-
- Begeisterter Schreiberling
- Beiträge: 1918
- Registriert: 26 Mär 2014 19:53
- Geschlecht: männlich
- AB-Status: AB
- Wohnort: Berlin
Re: SSL-Zugang ermöglichen
+1Morningstar hat geschrieben:SSL hier im Forum zu aktivieren wäre wirklich eine feine Sache
Re: SSL-Zugang ermöglichen
Ist die Frage, ob der Provider das einfach so ermöglicht, oder ob das extra kostet. Ansonsten ist ja „Let's Encrypt“ Fefe-approved, wenn man die „ranzigen“ Python-Skripte weglässt.
Re: SSL-Zugang ermöglichen
Naja, solange man Root Rechte auf dem Server hat kann man ja machen und lassen was man will ohne das der Provider da auch nur irgendwas zu melden hätte. Dann sollte lets Encrypt also auf jeden Fall ans Laufen zu bekommen sein.orthonormal hat geschrieben:Ist die Frage, ob der Provider das einfach so ermöglicht, oder ob das extra kostet. Ansonsten ist ja „Let's Encrypt“ Fefe-approved, wenn man die „ranzigen“ Python-Skripte weglässt.
-
- Bringt jede Tastatur zum Glühen
- Beiträge: 8851
- Registriert: 24 Apr 2015 18:22
- Geschlecht: männlich
- AB-Status: Hardcore AB
- Ich bin ...: nur an Frauen interessiert.
Re: SSL-Zugang ermöglichen
Der Forenmathematiker und Seriositätsbeauftrage (scnr ) und inoffizelle Admin orthonormal hat meinen Wunsch erhört und dem Server SSL beigebracht.
https://five.schnuerpel.eu
https://five.schnuerpel.eu
der Himmel brennt, die Engel fliehen