Anzeige:
Seite 1 von 4 123 ... LetzteLetzte
Ergebnis 1 bis 15 von 49

Thema: HTTPS Zugang

  1. #1
    Open-Xchange Avatar von cane
    Registriert seit
    Nov 2002
    Ort
    NRW
    Beiträge
    6.682

    Lightbulb HTTPS Zugang

    Hi Team,

    spätestens seitdem bekannt ist das sämtliche Kommunikation systematisch überwacht wird wünsche ich mir dringend das alle Foren und Kommunikationsportale die ich nutze HTTPS verwenden.

    Wir erreichen mit der Verwendung von HTTPS das
    • nicht jeder Übertragungspunkt in deinem Internetverkehr (WLAN Access Points...) deine Identität stehlen kann und in deinem Namen aktiv werden kann (Posts, PNs)
    • deine Nutzernamen und Passwörter nicht abgeschöpft und weiterbenutzt werden können
    • deine privaten Daten, private Nachrichten, Geburtsdaten, etc. pp. nicht abschöpft werden können
    • die Korrelationen mit Freunden und anderen Forenmitgliedern in globale Datenbanken nicht auf dem Übertragungsweg möglich ist


    Ich habe einigen anderen Foren bereits SSL Zertifikate mit meinem privaten Geld gesponsort oder die Community hat diese getragen.

    --> Besteht die Bereitschaft gleiches hier zu verwirklichen um das Internet für die Nutzer ein wenig sicherer zu machen?

    mfg
    cane
    Es existiert kein Patch für die menschliche Dummheit.

  2. #2
    Registrierter Benutzer
    Registriert seit
    May 2003
    Beiträge
    307
    *klick*
    Klar, der Aufwand für die Hacker wäre größer und somit teurer. Die Geheimdienste werden aber ohnehin von von uns bezahlt und diesen Mehraufwand würde der Steuerzahler dann eben auch noch aufbringen müssen. Plus die Kosten für Zertifikate die die Kosten der Geheimdienste in die Höhe treiben.
    Pervers, oder?

  3. #3
    Registrierter Benutzer
    Registriert seit
    Apr 2009
    Ort
    Erde
    Beiträge
    2.814
    Ändert aber nichts daran, dass ein verschlüsselter Zugang wünschenswert ist, gibt ja nicht nur Dickfische die man abhalten will - müsste nach meinen dafür halten noch nicht mal ein offizielles Zertifikat sein, bin aber bereit dafür ggf. auch die ein oder andere kleine Münze einzuwerfen.
    Geändert von nopes (05.01.14 um 12:48 Uhr)
    Gruß nopes
    (,,,)---(^.^)---(,,,) /var/log/messages | grep cat

  4. #4
    Rain_maker
    Gast
    Zitat Zitat von nopes Beitrag anzeigen
    - müsste nach meinen dafür halten noch nicht mal ein offizielles Zertifikat sein,
    Wenn man mal kurz darüber nachdenkt, dann wäre das sogar die sicherere Lösung, sofern man z.B. einen Browser verwendet, der Zertifikate "pinnen" kann.

    Die Validierung, daß es sich um das "richtige" Zertifikat handelt, könnte anhand der Fingerprints die Community dieses Forums übernehmen, die dann an möglichst verschiedenen Orten den Fingerprint zusätzlich bekannt machen.

    Ja, das wäre "unbequemer" als ein fertiges Zertifikat von $"VERTRAUENSWÜRDIGER"(hüstel)_STELLE, aber es wäre sicherer als irgendwelchen CAs zu trauen, was -nicht erst seit Mitte letzten Jahres- bekannt sein dürfte.

    Greetz,

    RM

  5. #5
    Newbie and practicing Avatar von Newbie314
    Registriert seit
    Mar 2007
    Beiträge
    7.639
    Bin dabei. Die Zertifikate machen es den Geheimdiensten schwerer ihr Ziel "alles abzuscannen" zeitnah zu erreichen. Ich sehe das als passiven Widerstand bis die Demokratie "erwacht"und die Geheimdienste einer wirksamen demokratischen Kontrolle unterworfen werden.

    Bei einem Linuxforum sehe ich die Chance ein Zertifikat ohne CA zu verwenden, bei "Feld-Wald-und Wiesenforen" eher nicht da Laien von der Warnmeldung wohl abgeschreckt würden.

    Wäre noch die Frage an Netzmeister ob seine Hardware die Zusatzlast überhaupt verträgt- wenn ich mich richtig erinnere war das doch ein Hauptgrund warum so viele Websites "offen" sind...
    Bei Konsolenausgaben / Fehlermeldungen bitte immer Code Tags verwenden: [code] -Text- [/code]
    "Überzeugungen sind gefährlichere Feinde der Wahrheit als Lügen" (H. Lesch)

  6. #6
    Open-Xchange Avatar von cane
    Registriert seit
    Nov 2002
    Ort
    NRW
    Beiträge
    6.682
    Naja, an den paar Euro für ein wirkliches Zertifikat wird es nicht scheitern.

    Eins dessen CA nicht im Browser bekannt ist ist denke ich schon zu abschreckend für neue Nutzer.

    mfg
    cane
    Es existiert kein Patch für die menschliche Dummheit.

  7. #7
    Rain_maker
    Gast
    Zitat Zitat von cane Beitrag anzeigen
    Naja, an den paar Euro für ein wirkliches Zertifikat wird es nicht scheitern.
    Darum geht es nicht.

    Zitat Zitat von cane Beitrag anzeigen
    Eins dessen CA nicht im Browser bekannt ist ist denke ich schon zu abschreckend für neue Nutzer.
    Darauf würde es ich einfach mal ankommen lassen, wenn es in solch einem Forum nicht funktionieren kann, wo dann?

    Und dann wäre da noch als brauchbare Alternative CAcert,

    Nur zur Verdeutlichung, der Löwenanteil bei wirklich dramatischen Problemen mit SSL/TLS lag in den letzten Jahren auf Seite der "vertrauenswürdigen" Stellen, die es teilweise auf erschreckend dilettantische Art und Weise (Diginotar anyone?) so verkackt haben, daß $DRITTER den Usern gefälschte Zertifikate mit "echter" Signatur der "vertrauenswürdigen" Stelle unterjubeln konnte.

    Das hat im Zweifelsfall Leuten die Freiheit oder sogar das Leben gekostet (Iran/Syrien anyone?).

    Auch wenn ich hier in Deutschland (zumindest noch) keine solch dramatischen Folgen befürchte, wieso sollte man solchen (häufig sogar staatlichen) Vollversagern auch nur einen Cent in den Rachen werfen für eine trügerische Sicherheit?

    Dann lieber das Geld in die Infrastruktur des Forums investieren und ein Zertifikat eines nicht-kommerziellen Anbieters oder eben ein BayernMünchen-Zertifikat (=selbstsigniert, aka "Mia san mia!") nutzen.

    Greetz,

    RM

  8. #8
    Registrierter Benutzer
    Registriert seit
    Apr 2009
    Ort
    Erde
    Beiträge
    2.814
    Zitat Zitat von Rain_maker Beitrag anzeigen
    ...Darauf würde es ich einfach mal ankommen lassen, wenn es in solch einem Forum nicht funktionieren kann, wo dann?...
    so ist es und ein paar Plätze zum checken sollten sich ja wohl auftreiben lassen.
    Gruß nopes
    (,,,)---(^.^)---(,,,) /var/log/messages | grep cat

  9. #9
    Fieses Frettchen Avatar von DrunkenFreak
    Registriert seit
    Dec 2003
    Beiträge
    3.315
    Zitat Zitat von Rain_maker Beitrag anzeigen
    Darauf würde es ich einfach mal ankommen lassen, wenn es in solch einem Forum nicht funktionieren kann, wo dann?
    Seh ich genauso. Abgesehen davon klicken 99% die Warnung sofort weg ohne sich darüber Gedanken zu machen, was der Fehler dahinter sein könnte.

    Ich sehe allerdings kaum einen Vorteil für Verschlüsselung, außer bei der Anmeldung, für ein öffentliches Forum. Dass hier keine hochwichtigen Details ausgetauscht werden, weil es jeder sehen kann, dürfte weitläufig bekannt sein. Genauso wenig kann ich mir einen Reim daraus machen, was irgendjemand mit meinem unprivilegiertem Account hier will. Mehr als Spammen kann er eh nicht damit. Anders mag das bei Moderatoren sein, aber das ist nicht meine Sache. Die werden wohl wissen, wie sie mit ihrem Account umzugehen haben. Daher ist mein Standpunkt dazu neutral bzw. ich wäre nicht bereit dafür irgendwas zu geben. Ich kann gut ohne leben.

  10. #10
    Registrierter Benutzer
    Registriert seit
    May 2003
    Beiträge
    307
    Zitat Zitat von cane Beitrag anzeigen
    Naja, an den paar Euro für ein wirkliches Zertifikat wird es nicht scheitern.
    [...]
    Um welche Summe geht es da eigentlich?

  11. #11
    Registrierter Benutzer
    Registriert seit
    Apr 2009
    Ort
    Erde
    Beiträge
    2.814
    Nichts*) bzw. ab ca. 15€ pro Jahr.

    *) ist so eine Sache, siehe hier

    [EDIT]Nachtrag: Die bedenken können hier weitestgehend ausgeräumt werden, wie beschrieben kann man ja seinen eigenen Schlüssel liefern.
    Geändert von nopes (06.01.14 um 01:10 Uhr)
    Gruß nopes
    (,,,)---(^.^)---(,,,) /var/log/messages | grep cat

  12. #12
    Freelancer Avatar von TheDarkRose
    Registriert seit
    Jun 2009
    Ort
    Oberalm
    Beiträge
    669
    Zitat Zitat von DrunkenFreak Beitrag anzeigen
    Ich sehe allerdings kaum einen Vorteil für Verschlüsselung, außer bei der Anmeldung, für ein öffentliches Forum. Dass hier keine hochwichtigen Details ausgetauscht werden, weil es jeder sehen kann, dürfte weitläufig bekannt sein. Genauso wenig kann ich mir einen Reim daraus machen, was irgendjemand mit meinem unprivilegiertem Account hier will. Mehr als Spammen kann er eh nicht damit. Anders mag das bei Moderatoren sein, aber das ist nicht meine Sache. Die werden wohl wissen, wie sie mit ihrem Account umzugehen haben. Daher ist mein Standpunkt dazu neutral bzw. ich wäre nicht bereit dafür irgendwas zu geben. Ich kann gut ohne leben.
    Verschlüsselung ist immer wünschenswert! Egal ob brisante Daten übertragen werden oder nicht. Btw. sollte man halt auf ordentliche Algos setzen und nicht RC4, dann sollten sich aus NSA und Co. schwer tun. https://bettercrypto.org/static/appl...-hardening.pdf
    foo bar

  13. #13
    Fieses Frettchen Avatar von DrunkenFreak
    Registriert seit
    Dec 2003
    Beiträge
    3.315
    Meine Beiträge stehen hier öffentlich drin und jeder kann sie lesen. Mein Cookie wird vermutlich nicht sonderlich interessant. Mehr als Spam kann über meinen Account nicht kommen. Bleibt noch das Passwort für die Anmeldung. Wie jedem bekannt sein sollte, nutzt man Passwörter nur einmalig für Anmeldungen. Jetzt ergibt sich mir irgendwie nicht so ganz der Sinn, warum lf.de auch eine Verschlüsselung erhalten soll. Nur weil es jeder macht?

    Was ist denn jetzt noch ein realistisches Szenario für den normalen Benutzer, dass die Übertragung unbedingt verschlüsselt sein muss?

  14. #14
    Registrierter Benutzer
    Registriert seit
    Apr 2009
    Ort
    Erde
    Beiträge
    2.814
    Hast schon irgendwie recht, auf der anderen Seite bist du aber auch für deine Beiträge verantwortlich bzw. kannst dafür verantwortlich gemacht werden - stell dir mal vor FB oder G+ wären unverschlüsselt. Daher finde ich es inzwischen eher obligatorisch (erst recht, wenn ich mal so drüber nachdenke, was sich die Leute anhören dürfen, die Sachen in der Art wie: "Ich habe mir gerade nen VServer gemietet, weiss aber nicht, wie man den Apache konfiguriert" fragen).

    Und der unverschlüsselte Zugang, müsste ja nicht zwingend abgeschaltet werden.
    Gruß nopes
    (,,,)---(^.^)---(,,,) /var/log/messages | grep cat

  15. #15
    Fieses Frettchen Avatar von DrunkenFreak
    Registriert seit
    Dec 2003
    Beiträge
    3.315
    Rechtlich gesehen müßte doch eher der Betreiber dafür verantwortlich sein bzw. im Falle eines Falles meine Daten rausgeben. Da der Betreiber nur eine E-Mail und eine IP von mir hat, wird es vermutlich schnell passieren, dass ein Betrug auffliegt.

Ähnliche Themen

  1. Apache2 HTTP & HTTPS
    Von poon im Forum Linux als Server
    Antworten: 7
    Letzter Beitrag: 26.08.08, 14:45
  2. HTTPS xyz.name.dyndns.org (selbst signiertes zertifikat)
    Von Iluminat23 im Forum Linux als Server
    Antworten: 6
    Letzter Beitrag: 21.08.08, 17:10
  3. Antworten: 7
    Letzter Beitrag: 04.01.08, 06:51
  4. mldonkey Webinterface über https?
    Von ChandlerBing im Forum Anwendungen Allgemein, Software
    Antworten: 0
    Letzter Beitrag: 19.01.05, 13:44
  5. https Zugang zu ssh?
    Von Samsara im Forum Linux als Server
    Antworten: 11
    Letzter Beitrag: 21.08.03, 00:13

Lesezeichen

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •