SSL Verschlüsselung des Webservers

[urbi2]

Hallo Support,

warum verschlüsselt ihr nicht den Datenstrom zwischen Webserver und Clients dauerhaft durch Umstellung auf https/SSL?

Die Authentifizierung über eine unverschlüsselte Verbindung ist meiner Meinung nicht mehr zeitgemäß.

 

[Dachstein]

Guckst Du zum Beispiel hier :

https://www.dslr-forum.de/showthread.php?t=1174293

 

[b8d]

Leider wurde das Thema damals einfach ausgesessen.

 

[Pecos]

Und viele der Beiträge gingen dann auch mit dem zweiten Datenverlust verloren.

Jedenfalls hat sich scorpio nie dazu geäußert, weshalb es nicht eingesetzt wird, soweit ich weiß...

 

[Steffen Rentsch]

Jedenfalls hat sich scorpio nie dazu geäußert, weshalb es nicht eingesetzt wird, soweit ich weiß...

Doch - er hat die einfache Frage gestellt, welche der hier übermittelten - und im wesentlichen anonymen Daten - denn eines besonderen Schutzes bedürfen. Und diese Frage ist ihm - meines Wissens - nie plausibel beantwortet worden.

LG Steffen

 

[tuxoche]

Die Authentifizierung über eine unverschlüsselte Verbindung ist meiner Meinung nicht mehr zeitgemäß.

Das Login sollte schon über SSL gehen, danach, für die Posts geht es wieder auf normales HTTP runter, weil es ja ein öffentliches Forum ist.

ciao tuxoche

 

[b8d]

Doch - er hat die einfache Frage gestellt, welche der hier übermittelten - und im wesentlichen anonymen Daten - denn eines besonderen Schutzes bedürfen. Und diese Frage ist ihm - meines Wissens - nie plausibel beantwortet worden.

Ach ja?

wie schauts mit einer geschützten verbindung aus?
ist da was geplant?

Wozu soll das hier im Forum gut sein?

vielleicht das nicht jeder provider nach belieben daten sammeln wer was liest oder macht.

Welcher Provider sammelt hier wie welche Daten?

Weiter hat er sich nicht geäußert.

Und die Frage, was denn geschützt werden soll, wurde auch mehrfach beantwortet:

Damit die Zugangsdaten während des Logins nicht im Klartext übertragen werden. Danach kann es wie gewohnt unverschlüsselt weitergehen.

Es ist heute Stand der Technik, eine gesicherte Verbindung zumindest überall dort anzubieten, wo persönliche Daten übertragen werden. Das gilt also durchaus auch für Foren, die neben öffentlichen Bereichen auch private Kommunikationskanäle anbieten, in denen dann ggf. Bankdaten für Verkäufe oder sonstwas vergleichbares transportiert wird.

Zumindest ein Login über eine verschlüsselte Verbindung sollte heute Standard sein und auch hier im Forum würde ich es mir wünschen.

Eine verschlüsselte und über ein Zertifikat abgesicherte Anmeldung fände ich schon schön.

Also ich würde mich auch für eine Verschlüsselte Anmeldung aussprechen[...]

Verschlüsselung ist sicher wünschenswert. Überall, wenn möglich.

 

[Steffen Rentsch]

Inwieweit ist denn ein selbst gewählter Benutzernamen (Alias - oft anonym) und ein selbst gewähltes Kennwort - dass man jederzeit ändern kann - ein schützenswertes Gut im Sinne des Datenschutzes (personenbezogene Daten)?

Mehr wird beim Einloggen nicht übermittelt. Ich sehe da keine personenbezogene Daten, die in irgendeiner Weise gefährdet sind, wenn man sie nicht verschlüsselt.

Selbstverständlich sollte man die Kombination aus Benutzernamen und stets gleichbleibendem Passwort nicht mehrfach im Web benutzen und in einem solchen Fall ggf. ändern.

Das liegt aber eher auf der persönlichen Ebene und hat nichts mit dem Forum zu tun.

Ehrlich gesagt verstehe ich nicht, wieso man Kriterien, die für einen Shop mit diversen Zahlungsmethoden gelten mögen, völlig unkritisch auf eine öffentliche Diskussionsplattform zu übertragen sucht.

LG Steffen

 

[Calm]

DAS gehört in einen ganz privaten Mailverkehr, den man, je nach Paranoia, mehr oder weniger verschlüsseln kann.

 

[Pecos]

DAS gehört in einen ganz privaten Mailverkehr, den man, je nach Paranoia, mehr oder weniger verschlüsseln kann.

Und viele User werden die Daten dennoch hier austauschen. (mal davon abgesehen, dass man beim Versenden von Emails an unbekannte auch nicht weiß, ob der Empfänger seine Mails auch mit SSL abruft. Und sich auf PGP einigen werden wohl die wenigsten)

Selbstverständlich sollte man die Kombination aus Benutzernamen und stets gleichbleibendem Passwort nicht mehrfach im Web benutzen und in einem solchen Fall ggf. ändern.

Und was meinst Du wie viele Leute das tatsächlich machen? Sicherlich ein paar, aber aus eigener Erfahrung würde ich vermuten, dass die Mehrzahl der User das nicht tun und sich nicht mit so etwas auseinandersetzen.

Ehrlich gesagt verstehe ich nicht, wieso man Kriterien, die für einen Shop mit diversen Zahlungsmethoden gelten mögen, völlig unkritisch auf eine öffentliche Diskussionsplattform zu übertragen sucht.

Gehandelt wird auch hier. Und auch Zahlungsinformationen, Adressen, etc. ausgetauscht.

Nebenbei geht es ja auch nicht nur um die Abhörsicherheit, sondern auch darum, dass die Verbindung nicht manipulierbar ist. (Dem User Spyware unterzuschieben z.b., was hier ja nicht ganz unbekannt sein dürfte )


Aber ganz allgemein: Was spricht denn DAGEGEN?

Darauf habe ich jedenfalls auch noch keine Antwort gehört.
Das wäre doch zum Beispiel mal etwas, worauf scorpio antworten könnte. Schließlich scheint er es zu sein, der https hier nicht einrichten möchte, da muss er es doch auch irgendwie begründen können.

 

[Calm]

Und viele User werden die Daten dennoch hier austauschen. (mal davon abgesehen, dass man beim Versenden von Emails an unbekannte auch nicht weiß, ob der Empfänger seine Mails auch mit SSL abruft. Und sich auf PGP einigen werden wohl die wenigsten)

Wessen Problem ist das letztendlich?

Ist der Briefträger für meine "Offenheit" verantwortlich, wenn ich eine Postkarte statt eines Briefs versende?

 

[Pecos]

Darf der Briefträger deine Postkarte unbeaufsichtigt liegen lassen, sodass andere Leute sie lesen können?

Und sobald Daten abgegriffen werden, und User möglicherweise rechtliche Schritte gegen den Forenbetreiber anstreben, ist dies auch für ihn ein Problem...

 

[Calm]

Darf der Briefträger deine Postkarte unbeaufsichtigt liegen lassen, sodass andere Leute sie lesen können?

Er muß sie doch nicht liegen lassen, er kann sie lesen und den Inhalt mißbrauchen - genau so, wie ein schlechter Mensch unverschlüsselte Kontodaten abfischen und nutzen kann. Nur weil der Sender zu naiv ist, eine besser geschützte Sendeform zu nutzen.

Ergo kann man weder die Post noch einen Forenbetreiber für die Naivität (fast hätte ich Blödheit geschrieben) verantwortlich machen.

 

[Pecos]

Er muß sie doch nicht liegen lassen, er kann sie lesen und den Inhalt mißbrauchen - genau so, wie ein schlechter Mensch unverschlüsselte Kontodaten abfischen und nutzen kann.

In diesem Beispiel ist wohl scorpio (und alle anderen berechtigten Administratoren) der Briefträger. Das er die Nachrichten lesen kann lässt sich kaum vermeiden. Andere sollten dazu aber nicht die Möglichkeit haben.

Nur weil der Sender zu naiv ist, eine besser geschützte Sendeform zu nutzen.

Den meisten Usern fehlt halt das Wissen dazu. Das kann man meiner Meinung nach nicht als Naivität werten.

Der Aufwand SSL einzurichten ist gering. Warum sollte man darauf verzichten?

 

[ArtooDetoo]

Inwieweit ist denn ein selbst gewählter Benutzernamen (Alias - oft anonym) und ein selbst gewähltes Kennwort - dass man jederzeit ändern kann - ein schützenswertes Gut im Sinne des Datenschutzes (personenbezogene Daten)?

Angenommen jemand kriegt dein Passwort so heraus, er könnte vermutlich sehr viel Unfug mit deinem Account treiben.

 

[Steffen Rentsch]

Gehandelt wird auch hier. Und auch Zahlungsinformationen, Adressen, etc. ausgetauscht.

Und inwieweit erhöht sich die Sicherheit dieser Angaben, wenn lediglich der Login SSL-verschlüsselt wird? Hmmh?

LG Steffen

 

[Pecos]

Und inwieweit erhöht sich die Sicherheit dieser Angaben, wenn lediglich der Login SSL-verschlüsselt wird? Hmmh?

Ich persönlich halte ja auch eine Verschlüsselung aller Inhalte für zeitgemäß.
Aber wenn es wenigstens die Logins wären, wäre das auch schon ein Fortschritt.

 

[Mapan]

Inwieweit ist denn ein selbst gewählter Benutzernamen (Alias - oft anonym) und ein selbst gewähltes Kennwort - dass man jederzeit ändern kann - ein schützenswertes Gut im Sinne des Datenschutzes (personenbezogene Daten)?

Mehr wird beim Einloggen nicht übermittelt. Ich sehe da keine personenbezogene Daten, die in irgendeiner Weise gefährdet sind, wenn man sie nicht verschlüsselt.

Und inwieweit erhöht sich die Sicherheit dieser Angaben, wenn lediglich der Login SSL-verschlüsselt wird? Hmmh

1. Der Benutzername ist oft ein Alias. Aber nicht immer! Auch Signatur, Postings, Eingestellte Fotos können gewollte oder ungewollte Rückschlüsse auf die Identität geben. Ebenso ist die vom User genutzte IP-Adresse sehr wohl höchstrichterlich ein persönliches Datum. Selbst wenn diese nicht gespeichert wird, ist sie doch für die Dauer der Verbindung präsent!!!

2. "Nur der Login verschlüsselt", das wäre totaler Quatsch. SSL wird - so wie ich es unter Linux und Confixx kenne - pro Server auf die komplette IP-Adresse bezogen. Man müßte also einen extra Loginserver aufsetzen, der.. ach, totaler Quatsch halt.. braucht man kein Wort drauf zu verschwenden.
denn:

3. Die PNs die User sich schicken, sind schützenswert. Sie enthalten oft privateste Infos. Der Klimmzug nur Logins zu verschlüsseln wäre äufwendiger als Totalverachlüsselung und würde eben keine PNs beeinhalten.

Last but not least:
Dass Forenbetreiber die möglichen Gefahren nicht sofort erkennen, ehrt sie einerseits. Denn es braucht schon kriminelle Energie oder Paranoia um sich Missbrauchsmöglichkeiten auszudenken. Das Problem ist aber andererseits halt: "Draussen" gibt es genug davon. Und hinterher, wenn das Kind im Brunnen ist ungläubig mit dem Kopf zu wackeln, hilft auch keinem mehr.

Aber: Zwar sind dank Snowden nun alle Menschen die zuvor als Paranoide galten, halbwegs rehabilitiert, und es wird ihnen ein wenig mehr Glauben geschenkt. Aber man muss auch sagen, dass es für Kriminelle oder NSA & Co womöglich bessere Ziele als das DSLR-Forum gibt.

Letzteres sollte jedoch nicht die Generalamnestie für vollständige Ignoranz des Themas sein.

Kurz: SSL ist wünschenswert und imho überfällig.

 

[unst]

Sehe ich ähnlich. Und dank StartSSL z.B. sind die Kosten inzwischen auch kein Problem mehr. Da gibts das Zertifikat kostenlos und das wird inzwischen von den meisten Browser und mobilen Endgeräten akzeptiert.

Achso, und was die zusätzliche Last auf das System betrifft, so muss der SSL Offload ja nicht vom Webserver gemacht werden sonder kann von der vorgelagerten Web Application Firewall gemacht werden - dann hat der Server keine zusätzlichen Aufgaben.

 

[Pecos]

Aber man muss auch sagen, dass es für Kriminelle oder NSA & Co womöglich bessere Ziele als das DSLR-Forum gibt.

Für Geheimdienste vielleicht.
Aber für Kriminelle ist auch das Forum hier interessant. Die Userzahl ist ja nicht gerade klein. Und wenn dann noch schlecht geschützt wird, dann steigt da das Interesse.