HTTPS Unterstützung

1. offizieller Beitrag

    Der redirect funktioniert so, dass man z.B. ein ServerName Forum der Knights of the Round (und evtl ein paar Alias) welche von HTTP direkt auf HTTPS weitergeleitet werden. (Hypertext Transfer Protocol Secure)


    Wie von ACiDCore beschrieben, kann jeder bei http den Traffik auslesen!


    Wenn mann den Link kopiert und neu einfügt, sieht man das wir uns hier definitiv in HTTP bewegen.

    Hypertext Transfer Protocol Secure – Wikipedia


    Ohne HTTPS kann jeder (naja, nicht jeder weiss wie) den Traffic auslesen und z.b. die Usernamen inkl. Passwörter ausspähen.


    In der heutigen digitalen Welt wäre mir das als Webmaster mit vielen Benutzern sehr wichtig, dass die Benutzer und deren Daten sicher sind.


    Man hört ja auch immer häufiger, dass Userdaten u.ä. hochpreisig verkauft werden.


    Ich für meinen Teil hab mir auch ein Addon installiert, dass immer die HTTPS Seite aufmacht, wenn es unterstützt wird.


    Mir ist meine Privatsphäre sehr wichtig. Und wenn ich eine Lücke schliessen kann, dann schliesse ich diese auch.


    Und mit Let's Encrypt kostet es auch nix! Naja, ausser deine Zeit um Einrichten.


    Also ich denke, dass Sicherheit bei einer Webseite (gerade mit vielen Usern) oberste Priorietät haben sollte!

    Ich überlege gerade ob das hier wirklich so schlimm ist, wenn man den Traffic von PC zu Homepage - Knights of the Round auslesen kann. Soll der Späher doch wissen, wer Spammer des Monats wird.


    Oder gehts euch darum, dass vielleicht jemand weiß, dass der noSub das Passwort: 123großerBimBam hat :D Spaß beiseite. Es betrifft doch wirklich nur den Traffic zwischen Client und Kor-Seite. Da wird ja eigentlich sonst nichts anderes ausgelesen. Oder könnte ein potenzieller Angreifer diese Schwachstelle denn ausnutzen um auf unsere Computer einzudringen?! Hier ist die Wahrscheinlichkeit nicht höher oder geringer als der Zugriff via HTTPS... daher würde ich, wenn der Aufwand zu groß wäre, getrost darauf verzichten können ;)

    Ich hoffe ja, dass jeder für wirklich sensible Bereiche ein jeweils separates sicheres Passwort verwendet.
    Unter sicheres Passwort verstehe ich den Aufbau des Passwortes.


    Das ist immer noch der beste Schutz. Onlinebanking und Zahlungen über das Internet sollten natürlich immer via https laufen. Aber ds haben wir hier ja nicht ;)

    - == Manches beginnt groß, manches klein, und manchmal ist das Kleinste das Größte == -

    Zitat von Highlander

    Edit: Das kann man aber nicht alles via https verhindern


    So ist es.
    Spätestens wenn die Datenbank des Forums gehackt wird, liegen sowieso alle Daten offen. Und da hilft eben nur eine konsequentes sicheres Handling mit unterschiedlichen Passwörtern für die unterschiedlichen Bereiche.
    https ist nur eine Pseudosicherheit lediglich für den eigentlichen Datentransfer.

    - == Manches beginnt groß, manches klein, und manchmal ist das Kleinste das Größte == -

    • Offizieller Beitrag

    @Aragorn


    Durch einen externen Hinweis habe ich erfahren, dass auf dem neuen Server die Seite auch über https erreichbar ist. Ich habe dementsprechend eine htaccess eingerichtet, um dies zu erwingen:

    https://www.gildenforum.de

    öchz ... ich ...räusper... sach mal so....wenn ich ne HTTPS Verschlüsselung umsonst bekomme, dann her damit - tut ja nicht weh, wenn alles so weiter laufen kann. Und die Umstellung unseren Diavolo nicht all zu dolle Stresst.


    Evt müsstest du noch prüfen Diavolo ob nun die Inhalte wie Plugins, Links die du eingebunden hast, alle auch auf https eingestellt sind, sonst ham wah imma da oben im Browser - bei der URL - so ne Meldung das es noch nicht sicher ist.


    Obwohl es hier "nur" eine Gilden Webseite ist, sieht es einfach cooler aus, wenn ein Seite eine https Verschlüsselung hat. Die Suchmaschinen mögen sowas aus, wobei ich nicht glaube, das wir auf das Ranking achten...


    Da ich Beruflich damit verbunden bin, achte ich aus sowas. Ich würde auch kein Online Banking machen, wenn die Seite nicht verschlüsselt ist. Oder mir ein Shirt bei http//:dödelshirt.com bestellen.

    • Offizieller Beitrag

    Ehlicherweise ist das Thema https für mich vollkommen neu ^^ Wie ich eben überprüft habe, sind bei einigen Homepage-Seiten noch Bilder per http drin gewesen, die habe ich angepasst. Warum in den meisten Beiträgen etwas unsicher sein soll, ist mir unklar.


    Ich hab mich auf den Hersteller-Seiten umgeschaut, und da wurde dieses Plugin empfohlen:

    https://pluginstore.woltlab.com/file/1919-imageproxy/


    Laut Beschreibung soll es aber mittlerweile standardmäßig in der neuesten Forenversion drin sein:


    Wenn wer Zeit, Lust und Können hat, kann derjenige ja mal weiter die Ursachen dafür forschen. Ich werde das ganze nun sicher nicht zu meiner Lebensaufgabe machen, dafür fehlt mir die Zeit ^^ Wenn wer ne schnelle Lösung findet, dann gerne her damit. Ansonsten ist das auch kein Weltuntergang, wie ich finde. Es lief auch die letzten 15 Jahre ohne https ;)


    edit: Bei der Mentorenliste hatten 3 Leute ein Bild mit http in ihrer Sig eingebunden, einer davon war ich ^^ Diese Sigs hab ich gesperrt/editiert. Ansonsten finde ich momentan keine Seiten hier, die nicht sicher wären.

    Zitat von Ronco

    Es geht unter anderem um die Anmeldung Userid/Passwort gehen halt unverschlüsselt über die Leitung.

    Der Rest ist weniger relevant

    Genau, wenn man die Möglichkeit hat https zu nutzen dann sollte man das in jedem Fall machen gerade wenn es eh umsonst ist, wie das ganze mit dem WBB abläuft bzw. auf was man da achten muss weiß ich nicht 100% da ich hauptsächlich mit Wordpress und anderen CMS arbeite ich kann mich da aber gerne etwas einlesen ob es mit dem Burning Board und https etwas zu beachten gibt (im Normalfall kann ich mir das aber bis auf etwaige alte http Links etc nicht vorstellen.)

    LG

    Auf welchen Seiten soll es denn noch Probleme geben? Die können ja ggf. hier gepostet werden. Der Login erfolgt aktuell verschlüsselt und die Seiten, auf denne ich mich heute bewegt habe, sind auch komplett über https ausgeliefert.


    Ich weiß nicht, was ihr gestern eigestellt habt, gehe aber von einer entsprechenden rewrite Regel aus (im Apache, nginx oder was eingesetzt wird). Damit ist das Thema komplett erledigt. Sollte es dennoch mal fragen oder Probleme geben, kann ich mir die Seiten und Ursachen gern anschauen.

    Huch, da war Dia schneller als ich schauen konnte. Es ist ja tatsächlich HTTPS.

    Klasse, Dia - Danke


    Und danke Stephan, dass du mich mit der Nase draufgestoßen hast :-)

    Die letzeten Inhalte, die nicht verschlüsselt übertragen sind, liegen in den Signaturen der Nutzer. Wer also mal in einem Thread sieht, dass das Schlosssymbol im Browser durchgestrichen ist, braucht sich nicht wundern.

    Wenn jemand ein Beispiel will, einfach einen Beitrag von wuk_aut anschauen (bevor die Signatur geändert wird ;) )