https?

[sou]

Vollkommen richtig! Genau aus dem Grund werden meist "nur" Shopsysteme beim Bezahlvorgang über SSL geleitet. Der User an sich soll ja "verfolgbar" bleiben.

So ist es. Wie gesagt, hier würde es reichen den Login abzusichern.

Nebenbei angemerkt kosten qualifizierte SSL-Zertifikate auch richtig Geld.

Nein. Um mal ein Beispiel zu nennen: bei Domainfactory ab 20€ pro Jahr. Mehr ist doch gar nicht nötig.

 

[Phiarc]

Single-Host SSL-Zertifikate mit 1 Jahr Laufzeit kosten schon seit recht langer Zeit... genau gar nix mehr. Die Verschlüsselung lässt man meist im Frontend laufen (hier also auf den/dem nginx Server), der Appserver (hier vermutlich, da PHP, Apache) ist davon unberührt. Man erstellt dann letztendlich eine einfache Pfadregel im Frontend, die /login.php auf HTTPS.../login.php weiterleitet.

 

[darkhawk]

Als SysAdmin muss ich darüber lachen das man hier ernsthaft darüber argumentiert warum man es nicht brauch!

Leute...Stichwort Vorratsdatenspeicher und Datenschutz sollte doch ausreichend sein. Ebenso ist Account Missbrauch ein gutes Stichwort!

Und das nicht verwenden von SSL damit zu begründen das SSL ja auch seine Sicherheits- löcher/probleme hätte, ist ebenso total daneben...SSL zu benutzen ist sicherer als kein SSL zu benutzen!

Man kann natürlich nun alle Worstcase Szenarien durch diskutieren was passiert wenn und so ... böse CA hier...schlechter Client da usw...aber wollen wir von den schlechten Dingen nur ausgehen oder uns einen minimalen Schutz gönnen?

my 2 cents
Christian

P.S. was wäre wenn eure Bank genauso denken würde und das OnlineBanking unverschlüsselt betreiben würde (abgesehen von Gesetzen und co)

 

[Steffen Rentsch]

Erst einmal findet hier kein Banking statt und zweitens ist bei uns eher die freiwillige Weitergabe von Nutzerdaten durch User oder die Mitbenutzung anderer Accounts (z.B. bei der Freundin) ein Problem als der bei meinem Vorposter angesprochene "Account Missbrauch". Welche konkreten Daten über einen "Account Missbrauch" liegen Dir denn vor?

LG Steffen

 

[Gast_338175]

Ich bin mal so frei und hohle das Thema mal wieder hoch. Hat sich die Meinung beim Betreiber denn inzwischen evtl. geändert?

Klar ist SSL nicht zu 100% sicher (und das nicht erst seit Heartbleed), aber dann doch besser als gar nix. Ich möchte jetzt auch keine neue Diskussion anfangen, sondern nur ein einfaches Statement von den Admins/Mods.

Ich verstehe auch wenn ihr das nicht wollt, nur wollte ich mal eure Meinung hören.

Grüße

p.s. jetzt bitte nicht wieder 7 Seiten diskutieren für was man SSL hier braucht. Danke

 

[scorpio]

Ich bin mal so frei und hohle das Thema mal wieder hoch. Hat sich die Meinung beim Betreiber denn inzwischen evtl. geändert?

Nein.