HTTPS
-
Mir ist aufgefallen, dass das Forum nicht über HTTPS angeboten wird. Wäre es möglich, das nachzurüsten?
Falls es am Zertifikat mangelt: selbst ein selbstsigniertes würde erstmal ausreichen (mein Hauptanliegen ist die Verschlüsselung). Ansonsten gibt es auch CAs, die kostenlos Zertifikate ausstellen, z.B. http://www.cacert.org/.
-
Cacert ist nicht brauchbar, unterstuetzen zu viele Browser nicht. Ich hatte eher an StartSSL gedacht.
Ist prinzipiell angedacht, gibt dazu aber noch ein paar kleine Unklarheiten bzw. interne Diskussionen.
-
Wozu?
-
damit man sich auch in öffentlichen Netzen einloggen kann
-
zwutz schrieb:
damit man sich auch in öffentlichen Netzen einloggen kann
Wie zum Beispiel dem Internet?
-
µ schrieb:
Wozu?
Damit nicht jeder gleich mein Cookie bzw. meine Login-Daten abgreifen kann, wenn ich mal in einem nicht-privaten Netz bin.
-
ipsec schrieb:
µ schrieb:
Wozu?
Damit nicht jeder gleich mein Cookie bzw. meine Login-Daten abgreifen kann, wenn ich mal in einem nicht-privaten Netz bin.
Warum sollte sich jemand die Mühe machen?
Es gibt hier nichts abzugreifen und keine sensible Information.
Höchstens zum Trollen aber wie oft ist sowas denn schon vorgekommen in über 10 Jahren?
-
µ schrieb:
Warum sollte sich jemand die Mühe machen?
Grosze Muehe ist das nun wirklich keine und es gibt genug gelangweilte Scriptkiddies.
Die wenigsten derartigen "Hacks" haben eine viel bessere Motivation als Langeweile.
-
µ schrieb:
Höchstens zum Trollen aber wie oft ist sowas denn schon vorgekommen in über 10 Jahren?
Typische Antwort einer Firma, welche gerade gehackt (oder ähnliches) wurde:
"Wir haben es doch immer so gemacht und es hat nie irgendwelche Probleme gegeben!"Das Problem ist leider, dass es heutzutage scheiss einfach ist, eine fremde HTTP Session z.B. in einem öffentlichen WLAN Bereich zu übernehmen. Da muss nur jemandem etwas langweilig sein.
Grüssli
-
µ schrieb:
Es gibt hier nichts abzugreifen und keine sensible Information.
Login-Informationen sind sensible Informationen
mal davon abgesehen dass hier auch Moderatoren rumlaufen. Deren übernommene Session kann schnell böse enden
-
Ich könnte mir vorstellen dass sich das recht ungünstig auf die benötigte Rechenleistung auswirkt...
-
Die ist kein groszes Problem. Gibt andere Sachen, die dem Thema HTTPS viel effektiver im Weg stehen.
-
lass mich raten: die Zeit und Laune, das zu implementieren? :p
Oder die Unkosten für das Zertifikat? (selbstunterschriebene haben immer so einen faden Beigeschmack)
-
zwutz schrieb:
lass mich raten: die Zeit und Laune, das zu implementieren? :p
Nein, aber es ist verflucht unpraktisch, wenn nicht alle Seitenelemente, die du einbinden musst/moechtest auch via HTTPS verfuegbar sind.
(edit: Nicht, dass so furchtbar viel Zeit fuer sowas da waere, sie ist nur momentan nichtmal der Hauptfaktor.)
Oder die Unkosten für das Zertifikat? (selbstunterschriebene haben immer so einen faden Beigeschmack)
StartSSL waere fuer uns IMO schon ok. Selbstsigniert geht natuerlich gar nicht. Selbst wenn StartSSL nicht ginge, waeren die Kosten fuer die SSL-Zertifikate verglichen mit den laufenden Serverkosten ziemlich vernachlaessigbar.
-
nman schrieb:
Nein, aber es ist verflucht unpraktisch, wenn nicht alle Seitenelemente, die du einbinden musst/moechtest auch via HTTPS verfuegbar sind.
Welche sind es denn nicht? Bilder usw. sind ja unkritisch, die notorischen „diese Seite enthält unsichere Elemente“-IE-Popups sind ja inzwischen auch Schnee von gestern. Am wichtigsten wäre nur die Login-Seite bzw. die Login-Daten, dicht gefolgt vom Cookie.
-
ipsec schrieb:
Bilder usw. sind ja unkritisch, die notorischen „diese Seite enthält unsichere Elemente“-IE-Popups sind ja inzwischen auch Schnee von gestern.
Seit wann bzw. warum das?
-
nman schrieb:
ipsec schrieb:
Bilder usw. sind ja unkritisch, die notorischen „diese Seite enthält unsichere Elemente“-IE-Popups sind ja inzwischen auch Schnee von gestern.
Seit wann bzw. warum das?
Dachte ich. Gut ich benutze den IE jetzt nicht auch so oft, es kann auch daran liegen, dass sowas allgemein nicht (mehr) häufig vorkommt.
-
ipsec schrieb:
Dachte ich. Gut ich benutze den IE jetzt nicht auch so oft, es kann auch daran liegen, dass sowas allgemein nicht (mehr) häufig vorkommt.
IMO eher deswegen weil sich herumgesprochen hat, dass jeder Browser da sehr sehr einschüchternde Fehlermeldungen ausspuckt und das auch seinen Grund hat, sodass es nicht mehr so viele Seiten machen.
