Das 1. Kayak Angelforum

Moin Bernd
Ich bekomme seid drei Tagen beim anmelden immer diesn Hinweis!


Gruß Rolf

Kam bei mir gestern auch, heute aber nicht.

- Die Seite läuft nicht unter -https-.

- Passworte werden also nicht verschlüsselt gesendet

- Somit nicht sicher

Die Meldung habe ich auch, ich meine, seitdem Firefox ein Update installiert hat...

Gruß
Jürgen

Bleibt doch einfach dauerhaft eingeloggt! Was kann hier schon passieren? Außer vielleicht, daß jemand Anderes unter eurem Namen postet- ich glaube aber, die bösen Buben (und Mädels) haben da ganz andere Interessen....

Brute Force Attak... Nur mal so als stichwort

Mal die Frage/n an Bernd und Mario:

gibt es einen Grund dafür - ist das so gewollt ? kann man das beheben ?

Wir hatten uns intern schon darüber ausgetauscht !
Ich zitiere einfach mal Bernd, weil ich das sowieso nicht besser erklären könnte :

Bernd R. hat geschrieben: ↑12. Mär 2017, 18:30 Ostseefischer hat mich angeschrieben, weil er sich jedes mal beim Einloggen eine Sicherheitswarnung ansehen muss, weil das Passwort nicht verschlüsselt übertragen wird.

Und ja, nach einem Update auf die neuste Version macht das auch mein Firefox. Aber ist das auch ein Grund auf https umzusteigen? Es gibt kostenlose Zertifikate, aber die machen teilweise dann bei anderen Browsern Probleme...

Was tun sprach Zeus?

• Nur ein Beitrag mit dem Hinweis darauf?
• Ein kostenloses https Zertifikat nutzen, und hoffen dass andere Browser nicht zu oft meckern?
• Einfach weiter wie bisher?

Das mindeste ist, dass ihr Bescheid wisst.

• Es gibt Sicherheitsmeldungen bei einigen Usern, weil das Passwort nicht verschlüsselt übertragen wird
• Solange das Passwort vom User nicht überall verwendet wird, ist es harmlos, denn wenn ein Hacker das Passwort abgreift, kann er schlimmstenfalls das Profil des Users ändern, oder für den User posten.
• Man kann sich trotz Warnung einloggen.

Firefox 52.0 32 bit und 64 bit
Das Verhalten ist auch in den Notes zum 52-er Release beschrieben.

"Deutliche Warnung vor Passwort-Eingaben auf HTTP-Webseiten

Verschlüsselte Verbindungen, das heißt in der Regel HTTPS statt HTTP, sollten im Jahr 2017 eigentlich Standard für Webseitenbetreiber sein. Zumindest, wenn sensible Daten wie Passwörter übertragen werden, gibt es wohl kaum eine zulässige Ausrede gegen HTTPS. Aus diesem Grund markiert Firefox seit Version 51 Webseiten per Symbol in der Adressleiste als unsicher, die über eine unverschlüsselte HTTP-Verbindung übertragen werden, wenn auf der Seite ein Passwortfeld entdeckt wird.

In Firefox 52 geht Mozilla einen Schritt weiter. Wird ein Passwort-Feld auf einer HTTP-Webseite entdeckt, gibt es nicht nur eine entsprechende Markierung in der Adressleiste, auch das Feld für den Benutzernamen respektive das Passwort zeigt nun direkt unterhalb des jeweiligen Feldes eine entsprechende Warnung an, sobald der Benutzer mit der Eingabe beginnt."

...Ich habe aber selbst eine andere Meinung. https ist immer dann wichtig wo es wirklich um wichtige Daten oder Geld geht.
Ja, das Passwort des Forums wird nicht verschlüsselt gesendet,
ja, wer einfache Hackerqualitätetn hat könnte sich in die Verbindung zu Server einhacken und das Passwort abfischen.
Toll, dann kann er unter falschem Namen im Forum posten...

Ich halte es für Overdone von Mozilla.
Da wird massenhaft Hirnschmalz in PHP 7 investiert, damit Seiten schneller gerendert werden und dann soll man bei vergleichsweisem Kram plötzlich verschlüsseln, was den Geschwindigkeitsvorteil zumindest teilweise wieder plättet.
Wenn wir nicht auf https umstellen, werden User völlig unnötig verunsichert.
Ein Bezahlzertifikat kosten 100€ im Jahr, mit kostenlosen Zertifikaten habe ich in der Vergangenheit bei einigen meiner "Kunden" schon Probleme gehabt. Da gab es (seltene) Sicherheitswarnungen, weil das Zertifikat einigen Browsern nicht gut genug war.

Vielleicht sollten wir es ja trotzdem mal damit versuchen, wenn wir komplett auf die Adresse kayak-angelforum.de wechseln. Das ist dann für die User ein Aufwasch. Vielleicht sind die Zertifikate inzwischen ja "besser" geworden...

MarioSchreiber hat geschrieben: ↑21. Mär 2017, 15:52

...Ich habe aber selbst eine andere Meinung. https ist immer dann wichtig wo es wirklich um wichtige Daten oder Geld geht.
Ja, das Passwort des Forums wird nicht verschlüsselt gesendet,
ja, wer einfache Hackerqualitätetn hat könnte sich in die Verbindung zu Server einhacken und das Passwort abfischen.
Toll, dann kann er unter falschem Namen im Forum posten...

Und er kann alle Nachrichten sehen die der User geschickt und empfangen hat, und ich denke da sind sicherlich des öfteren auch Adressen, Telefonnummern und Bankdaten ausgetauscht worden.

Der hier hat etwas unüberlegt gehandelt :
https://www.golem.de/news/https-login-f ... 26848.html

Thomas

Ostseefisch hat geschrieben: ↑21. Mär 2017, 16:01
Und er kann alle Nachrichten sehen die der User geschickt und empfangen hat, und ich denke da sind sicherlich des öfteren auch Adressen, Telefonnummern und Bankdaten ausgetauscht worden.

nicht von der Hand zu weisender, treffender Einwand

Hi.

Zu den Bankdaten. Wäre nicht schlimm. Man könnte dann maximal eine Lastschrift von dem Konto ziehen und da die nicht berechtigt ist, kannst Du die innerhalb von 8 Wochen ohne weiteres bei deiner Bank retounieren. Selbst nach der Zeit geht das noch. Auch einer der Gründe warum ich versuche mit Lastschrift im Netz zu zahlen.

Telefonnummer wäre wohl schon nerviger. Aber ich denke wirklich viele komische anrufe bekommt man dann nicht.
Adresse... Joa. Aber die dann in den Mails zu suchen, stelle ich mir schwer vor. Selbst ich finde in meinen Mails kaum was wieder ^^.

Mhhh vorher hat sich auch noch nie jemand dran gestört. Jemand der so viel Wert auf die Sicherheit legt, hätte auch vorher gesehen das die Seite kein https hat. Wer hat alles ein Antivirenprogramm auf dem Smartphone, wer setzt kostenplfichtige Antivirenprogramme auf dem Rechner ein, wer hat eine eigene cloud.....

Bernd ist aber, glaube ich, am gucken ob man ggf. nen Zertifakt eingebunden bekommt, damit die Seite https wird.

Gruß
Mirco

Fakt ist auf alle Fälle das diese Seite nicht plötzlich unsicher ist wie sie es noch vor einem Monat oder einem Jahr war ...
Nur das das neuste Firefox-Update nun halt eine Warnung raus gibt.

Ich werde mich diesbezüglich aber noch mal mit Bernd austauschen.

gobio hat geschrieben: ↑21. Mär 2017, 17:13
Bernd ist aber, glaube ich, am gucken ob man ggf. nen Zertifikat eingebunden bekommt, damit die Seite https wird.

Gruß
Mirco

Nein, es ist kein technisches Problem beim Einbinden. Ich kann die Seite auf https laufenlassen, mit einem kostenlosen Zertifikat. User der von mir erstellten Webseiten hatten aber in der Vergangenheit Probleme mit kostenlosen Zertifikaten, allerdings selten und mit seltenen Browsern. Demnächst wird die Seite komplett von angelforum.bilderschuppen.net auf kayak-angelforum.de umgestellt. Die wesentlichen Gründe für die andere Adresse sind ja seit dem Update weggefallen. (Im wesentlichen war das die alte Usermap) Bei der Gelegenheit werde ich auf https umstellen.

Wenn es bei uns aber dann zu Zertifikatsproblemen kommt, wird zurückgerudert auf http. In letzter Zeit hatte es hier aber so viele Änderungen gegeben, da wollte ich Ursprünglich mit der Umstellung auf die Kayak-Angelforum-Adresse noch etwas warten. Jetzt kommt mir Firefox da etwas in die Quere, und wenn wir auf https ändern, wird die Adresse gleich mit angepasst...
Das ändert nichts an meiner Meinung, dass ich https für Foren wie dem Unseren für overdone halte.
Wenns inzwischen mit dem kostenlosen Zertifikat sauber für alle User läuft, habe ich kein Problem damit, wenn nicht, gehts wieder zurück auf http. Ich habe ja nichts gegen das Mehr an Sicherheit, aber die Kosten für ein Bezahlzertifikat stehen in so einem Forum nicht im Verhältnis zu Nutzen. (Nur für ein Bezahl-Zertifikat fallen 100€ im Jahr an.)

Beachtet die Bekanntmachungen für die Adressen-Umstellung!

MarioSchreiber hat geschrieben: ↑21. Mär 2017, 17:24 Fakt ist auf alle Fälle das diese Seite nicht plötzlich unsicher ist wie sie es noch vor einem Monat oder einem Jahr war ...

War die Seite noch unsicherer ?

Hi.

Nö. Seite ist geblieben wie Sie ist. Nicht sicherer und nicht unsicherer.

Gruß
Mirco