Irgendwelche weiteren Infos ?
Wird umgestellt /nicht / usw… ?
Was Thorsten damit sagen wollte:
Jeder muss selber in seinem persönlichen Bereich zwischen Sommer- und Winterzeit umstellen.
Die Forensoftware kann das (in dieser Version) nicht selber, und der Admin hat bestimmt besseres zu tun, als 2796 Benutzerkonten per Hand umzustellen 
Der Trend geht klar zu https. Eigentlich ist es ein Irrtum der Geschichte, dass es jemals http ohne s gab, und dass es bis heute Websites gibt, die sich per http aufrufen lassen. Das mag man gut finden oder schlecht (wobei mir jetzt ad hoc nicht einfällt, was daran schlecht sein soll), aber früher oder später wird http deprecated sein. Wenn es keinen sehr guten Grund gibt, sollte man sich nicht unnötig gegen den Trend stellen. Das macht nur Arbeit. Technische Probleme, die vereinzelt mit https auftreten mögen, müssen perspektivisch sowieso gelöst werden. Warum dann also nicht früher statt später?
Ab Anfang Dezember: letsencrypt.org/, ansonsten gibt’s Comodo Zertifikate schon für <10€ pro Jahr. Kann gerne eins sponsern.
SSL - um Daten zu verschlüsseln, die eh frei zugänglich sind? Helft mir bitte, den Sinn zu erkennen[emoji23][emoji23][emoji23][emoji23]
@knakke
Primär um das persönliche Passwort zu verschlüsseln.
ja OK, dass macht natürlich Sinn.
Kleiner Tipp: Bevor ich öffentlich vierfach in Lachtränen ausbreche, sollte ich zumindest prinzipiell in Erwägung ziehen, dass ich irgendwas übersehen habe.
“Verschlüsselung“ hat immer mehrere Aspekte. Vertraulichkeit ist einer davon, und der ist zumindest im öffentlich zugänglichen Teil des Forums kaum relevant, wie Du treffsicher erkannt hast. Ein anderer Aspekt ist Authentizität (Unverfälschtheit). Es ist sowohl im Interesse des Betreibers als auch im Interesse der User einer Website, dass die User die Daten sehen, die der Betreiber bereitstellt – und nicht irgendwelche Daten, die nur so aussehen, als kämen sie von dem Webserver des Betreibers. Ich denke da zum Beispiel an politische Botschaften, platte Werbung, oder Schadcode in der Website.
Zugegeben, es gibt wahrscheinlich dringlichere Probleme als dieses, aber https ist prinzipiell für jede Website eine gute Idee. Der Handlungsspielraum für “Cyberkriminelle“ wird dadurch wieder ein kleines Stückchen kleiner.
Ich hoffe, ich konnte helfen.
Und das alles kann SSL leisten? Wieder was gelernt. Ich dachte bis heute, es werden nur die Daten auf dem Transportweg verschlüsselt. Aber wenn es sogar politische Botschaften und platte Werbung verhindert, dann möchte ich das natürlich auch. Dann nehme ich die „[emoji23]“ zurück.
Jetzt lasst mal die Kirche im Dorf. Klar ist https und ssl zwingend notwendig wo ansonsten Schaden entstehen kann. Aber vielleicht bin ich zu IT-orientiert, dass ich mir nicht vorstellen kann, dass irgendjemand seinen TFF/Tapatalk User/Pw auch für andere bzw. sicherheitskritische Zugänge verwendet. Mit ssl kann zwar keiner mehr zuhören, aber der Betreiber hat dennoch die Anmeldedaten. Das sollte sich also jeder auch mit ssl zu Herzen nehmen. Wie Vollker schon geschrieben hat sollte dennoch eigentlich nur ssl verwendet werden. In größeren Firmen gibt es eigene Zertifikatsstellen und die ssl Zertifikate werden gegen Firmen-Root-Zertifikate geprüft, die man in jedem Browser hinterlegen kann. Sinngemäß könnte Tapatalk den Foren eine solche kostenlose ssl Zertifizierung ermöglichen. Dennoch ist das auch kostenlos mit Aufwand verbunden, da die Zertifikate zeitlich beschränkt sind. Als Betreiber von 20 ssl Web-Applikationen kann ich ein Lied davon singen. Aber das ist der Preis für etwas mehr Sicherheit.
Die meisten Menschen die ich kenne, wissen nichts von Passwortmanagern und wären auch nicht bereit diesen zusätzlichen Aufwand zu betreiben der mit der Benutzung einhergeht. Also verwenden sie die gleichen Passwörter überall. Viele Leute haben einen Account bei Amazon, eBay, Gmail und halt auch TTF. Bei den drei erstgenannten läuft das Login seit Jahren nur noch über SSL ab.
Der Betreiber speichert diese Anmeldedaten idealerweise nur indirekt in Form von gesalzenen Passwörtern, was beim hier eingesetzten phpBB meines Wissens der Fall ist. Dein Einwand trifft also nicht zu. Damit kann der Betreiber auch nicht erkennen ob mehrere User das selbe Passwort verwenden.
Die Forumssoftware phpBB speichert die Kennwörter verschlüsselt in der Datenbank. D.h. auch als Admin kann ich die Kennwörter nicht lesen.
Die Datenbank ist zudem außerhalb unseres Webspace nicht erreichbar. Damit können Userdaten auch dann nicht aus der Datenbank gelesen werden, wenn man das Datenankkennwort kennt.
Das Thema HTTPS werde ich aber in den kommenden Wochen im Detail prüfen. Dabei sind aus meiner Sicht diverse Punkte zu klären:
- Was kostet das Zertifikat im Monat?
- Sichern wir nur das TFF Forum über HTTPS ab, oder auch die anderen Seiten (bspw. supercharge-me)?
- Führt HTTPS zu Fehlern oder Warnungen bei Nutzung des Forums?
- Erzwingen wir HTTPS per Umleitung oder ist es optional?
- Funktioniert Tapatalk noch?
- Kann TFF News die aktuellen Beiträge des Forums noch auslesen?
Erst wenn alle offenen Fragen geklärt sind, kann eine Umstellung auf HTTPS erfolgen. Da das Forum (leider) nicht mein Beruf ist, bitte ich um etwas Geduld.
Schlecht ist : wenn ich mit meiner V mit Win 98 Auf Google gehe ,geht es dank Googles Verschlüsselung nicht .
Bin für Optional.
Meine Meinung: Google ist diesbezüglich sicher kein schlechtes Vorbild. Wenn einer weiß, wie Internet funktioniert, dann Google. Wenn Google Windows 98 von der Benutzung ausschließt, dann ist das vermutlich kein Versehen, sondern eine bewusste Entscheidung.
Wenn wir uns absehen ,wie viele win 98 ohne Updates nutzen… Naja ,da window 3.1 noch in Charles de Gauleiter genutzt wurde ,konnte da letztens kein Flugzeug starten.
OT Ende . Gibt auch Geräte /Navi mit sim ,die nur HTTP und kein S verstehen .
Standard https und optional (bei problemen z.B.) http
Vielleicht ist das in dem Zusammenhang interessant?
golem.de/news/let-s-encrypt- … 17809.html
Bei manchen Anbietern kostenlos (z.B. das genannte Let’s Encrypt – die Zertifikate gelten dort allerdings je nur 90 Tage, man wird daher praktisch dazu gezwungen, eine automatische Erneuerung einzurichten. Dazu stellen die auch ein wohl recht umfangreiches Python-Tool zur Verfügung. Hintergrundgedanke ist wohl, dass Zertifikate klassischerweise länger gültig sind und dann manuell erneuert werden müssen, das vergessen dann manche Admins aber regelmäßig, was nicht gerade zum positiven Bild von HTTPS beiträgt, wenn dann jedes Jahr 1x die „Das Zertifikat ist unsicher weil es abgelaufen ist“ aufpoppt.)
Ich bin dafür, zumindest auf allen Seiten, wo sensible (Session-)Cookie- oder Login-Daten übertragen werden, HTTPS optional anzubieten.
Wenn man es richtig einrichtet vermutlich nicht. Wenn aber Nutzer ein Bild von einer -Quelle per [img] einbinden, kommt vermutlich eine Warnung („die Seite enthält unsichere Elemente“ oder so). Oder? Kenne mich nicht gut genug aus. Vielleicht gibt es dafür Workarounds (iframes?!). Vielleicht wäre aber die einzige Möglichkeit, statt das Bild direkt einzubinden, nur einen Link anzuzeigen, wenn es von einer http-Quelle kommt…
Ich bin für optional.
Keine Ahnung.
Weitere Frage:
- Was passiert dann mit der Werbung? Gibt es https-Werbeanbieter? Oder könnte man es so lösen, dass für Gäste weiter http genutzt wird, damit sie weiter die Werbung genießen können?
Gibt es etwas neues bezüglich der Implementierung von https für das Forum? Vielleicht bin ich paranoid, aber ich schreibe hier ungern, wenn ich zB am Flughafen im offenen WLAN bin und vorher deshalb VPN einschalten finde ich auch unbequem.