atari-home.de - Foren
Allgemeines => atari-home.de => Thema gestartet von: Johannes am Do 21.12.2017, 23:05:25
-
Hallo zusammen,
ab sofort ist das Forum nur noch mit SSL Verschlüsselung über HTTPS erreichbar. Grund dafür sind Vorbereitungen auf die neue EU-DSGVO, die uns allen viel Spaß macht.
Nebenbei sind eure Eingaben hier nun auch zwischen eurem COmputer und dem Server verschlüsselt, das sollte eigentlich sowieso standard sein. Bisher hatte ich mich immer noch ein bisschen dagegen gesträubt, da damit auch der ein oder andere ältere Browser außen vor bleibt.
Aber mittlerweile gibt es keine große Wahl mehr. Was ändert sich jetzt für euch? nicht viel, statt http://forum.atari-home.de heißt es jetzt https://forum.atari-home.de. Alte Links auf http funktionieren immer noch, werden dann aber auf die https-Variante weitergeleitet.
Happy encrypted surfing
Johannes
-
Super! Firefox meldet mir aber noch ein gelbes Ausrufezeichen vor dem HTTPS-Schloß, wenn man das anklickt, bekomme ich angezeigt, dass einzelne Elemente der Seite noch ohne HTTPS-Verschlüsselung geladen werden. Das ist bestimmt noch anpassbar. Danke für die Arbeit die du ins Forum reinsteckst!
-
ab sofort ist das Forum nur noch mit SSL Verschlüsselung über HTTPS erreichbar.
Ist doch prima, danke für die Arbeit. Und alte Rechner können über einen Proxy, der das SSL wegstrippt, ja immer noch ran.
-
Super! Firefox meldet mir aber noch ein gelbes Ausrufezeichen vor dem HTTPS-Schloß, wenn man das anklickt, bekomme ich angezeigt, dass einzelne Elemente der Seite noch ohne HTTPS-Verschlüsselung geladen werden. Das ist bestimmt noch anpassbar. Danke für die Arbeit die du ins Forum reinsteckst!
Das sind dann von den Usern per HTTP verlinkte Bilder, wie z.B. In den Footern. Das kann ich nicht überall nachziehen. Ggf. werde ich Bilder in den Signaturen abschalten.
-
Nein, selbst auf der Hauptseite des Forums ist das gelbe Ausrufezeichen da.
-
Nein, selbst auf der Hauptseite des Forums ist das gelbe Ausrufezeichen da.
Kann ich nicht nachvollziehen (https://s1.hoffart.de/~goetz/Schnipsel/1513897932.png). Und auch mit SSL selbst ist alles gut (https://s1.hoffart.de/~goetz/Schnipsel/1513897681.png).
-
Ich bemühe mal Deine Signatur ;) Cache geleert?
-
Hab ich mal gemacht, wenn ich dann die Hauptseite öffne, ist es kurz grün, dann wieder gelb.
-
Vielen Dank für diese Umstellung. Ich hatte mich schon eine Weile lang gefragt, wann das Forum auf SSL Verschlüsselung umgestellt wird. Es ist sinnvoll und notwendig, will man als Webseitenbetreiber nicht abgehängt werden von der Weiterentwicklung.
Ich nutze Firefox 53 und Atari-Home funktioniert prima!
Nix "gelbe Ausrufezeichen".... ;)
-
Kann ich nur bestätigen, alles super hier, keine Warnungen von Firefox, auch auf dieser Seite nicht (benutze Firefox 57 Quantum).
Vielen Dank für dei Arbeit die du hier reinsteckst.
-
Hab ich mal gemacht, wenn ich dann die Hauptseite öffne, ist es kurz grün, dann wieder gelb.
Benutzt Du nicht den non-Standard Theme? Der ist out-of-scope ... sorry.
-
Besten Dank.
-
Ich bleibe bei dem Skin. Denn der Standard-Skin lässt mir nach wie vor zu viel Bildschirmfläche brach liegen. Mit dem Browser in die Mitte des Standardskins zoomen ist auch keine Lösung. Übrigens vermisse ich an dem Skin keinerlei Funktion, also lebe ich lieber mit dem gelben Ausrufezeichen.
-
Nachdem es vorhin noch fehlerfrei funktionierte, ist jetzt allerdings irgendwie die SSL-Konfiguration kaputt. Der Server verwendet ein Let's-Encrypt-Zertifikat (S/N 03:61:A1:E8:2A:38:34:93:4C:45:24:E8:3D:D3:42:FD:C2:46, ausgestellt 23. Dezember 2017 10:56:18 GMT), das nur für "sch.auerte.de" gültig ist.
Entsprechend (und korrekterweise) bemängeln das die Browser mit großen Warnhinweisen.
Bitte korrigieren.
-
Da läuft ein seltsames Tool, um die Letsencrypt Zertifikate abzurufen und im IIS zu konfigurieren. Das hat die Zertifikate für verschiedene Seiten wohl vertauscht. Habs korrigiert.
Danke!
-
Was ändert sich jetzt für euch? nicht viel, …
Tja, ich bin so jemand, der mit dieser Maßnahme nun komplett ausgeschlossen ist. Ich kann home.de also auf meinen Computern nichteinmal mehr lesen. Den Meisten wird das egal sein, aber vielleicht können ein paar nachvollziehen, wie sich das anfühlt, wenn man nach 1 1/2 Dekaden Teilnahme hier die Seite einfach nicht mehr öffnen kann, …
Meine einzige Möglichkeit ist jetzt, daß ich einen fremdem Rechner verwende, wie jetzt gerade. Was mir aber selten möglich ist. Und es bringt natürlich nicht viel, weil die Kommunikation über das Forum somit sinnentleert wird. Das wars vermutlich endgültig mit mir und home.de :(
Und nein, ich stelle mir auch für home.de keinen aktuellen PC mit einem der 3 Mainstream-Betriebssysteme hin!
Es ist auch nicht richtig daß eine Verschlüsselung unumgänglich ist. Im Art. 32 DSGVO Abs. 1 (a) geht es nämlich erstens um Firmen (!) und zweitens um "personenbezogene Daten" die gespeichert werden (als ob ein Forum nicht sowieso pseudonymisiert wäre). Warum sogar das Lesen damit nur mehr per https möglich sein sollte erschließt sich mir nicht.
-
Muß ja kein PC sein... ein Raspi tuts auch. ;) Mit Linux Mint,
-
Muß ja kein PC sein... ein Raspi tuts auch. ;) Mit Linux Mint,
Arthur, danke für die Anteilnahme, aber wie praktikabel soll denn das sein? Weiterer Arbeitsplatz? Oder nur Switchboxen für Tastatur/Maus und DVI (+ HDMI auf DVI)? Und dann zum home.de lesen immer ein andere System hochfahren? Noch dazu eines das Textbasiert ist und den Gehirnen von abstraktionslayer-fanatischen Mathematiker- und Physikergehirnen entsprungen ist? Win und Max OS X, oder Smartphones sind sowieso indiskutabel!
Oder doch am Besten assimilieren lassen und alles hinnehmen, und in weiterer Folge Alternativen eh nicht mehr ernst nehmen?
Nein, es tut mir leid, aber es liegt nicht in der Verantwortung von Nutzis von Alternativsystemportalen den Voraussetzungen zum lesen (!) mit neuer Hardware und Mainstreambetriebssystem hinterherzuhecheln.
-
Bin da zwar kein Experte, aber sollte es nicht über einen Proxy funktionieren?
-
Tja, ich bin so jemand, der mit dieser Maßnahme nun komplett ausgeschlossen ist.
Mit welchen Compi/Browser greift Du denn hierauf zu? Mit einem Atari?
Aber prinzipiell gebe ich Dir Recht. Wenn es mein Forum wäre, würde ich die Pages mit und ohne SSL ausliefern.
Switchen die modernen Browser mittlerweile nicht sogar selber um, wenn SSL verfügbar ist?
-
Nein, ein einfacher Proxy hilft da nicht ansatzweise, der muss nämlich per Spezifikation die SSL-Verschlüsselung durchreichen. Außer es ist ein teures Profi-Gerät von Bluecoat oder so, solche Geräte können die SSL-Verschlüsselung aufbrechen. Ob die dann die Seiten auch an Clients vollständig unverschlüsselt weitergeben können, das weiß ich auch nicht. Johannes und Yalsi wissen das wahrscheinlich eher.
Wenn Matthias eben keine moderne Systeme nutzen möchte, dann ist das so, aber er schließt sich damit moderner Kommunikation flächendeckend aus, entweder oder... Nichtmal mehr Nachrichtenportale, sei es allgemeiner Natur, noch IT-Magazine oder sonstwas geht heutzutage ohne HTTPS, ja selbst sämtlicher Verkehr mit Mailservern oder Webmailern läuft heute über SSL/TLS-Verschlüsselung. Und schon garkeine Seiten mit FakeNews, wie Sputnik, RT, Telepolis, linksunten oder Trumps Tweet usw... Schrecklich! Bedankt euch bei einem gewissen Herrn Snowden, der hat auf die Wichtigkeit sehr deutlich hingewiesen und mit den alten Schätzchen geht das eben nicht. Und HTTPS-Zertifikate gibts ja dank diesen Enthüllungen zwischenzeitlich vierteljährig für Lau, ist also für einen Webseitenbetreiber alle drei Monate mit ein paar Minuten Arbeit verbunden, aber ohne sonstige Kosten: https://letsencrypt.org/
Einserseits verstehe ich ja Matthias, die jüngsten Meldungen zu Intel/AMD/ARM Sicherheitslücken (Spectre, meltdown) bestätigen mal wieder, das moderne Rechner und Betriebssysteme nicht sicher sind. Aber Autofahren oder über eine Straße laufen ist auch nicht sicher, selbt auf dem Rad und im Zug kann einem was passieren.
No Risk, no Fun, sagte der Papagei und flog in den Ventilator!
Ps: Auf der CES, abrufbar bei SPON per HTTPS, wird eine Herrenunterhose mit Abschirmung gegen Handystrahlung gezeigt, das gute Stück kostet nur 45 Dollar. Passt sicher gut zu Aluhüten! >:D
-
Bei HTTPS gleich wieder die große Mainstreamkeule rauszuholen halte ich für reichlich daneben. Es geht nicht nur um Personendaten.
SSL bietet nunmal handfeste Vorteile. Natürlich kann man IT-Systeme nicht vollständig sicher machen, sobald sie am Netz hängen, aber man kann die Angriffsvektoren einschränken. HTTP-Verkehr zu belauschen ist nun wirklich kein Hexenwerk. Und jetzt stehe der bitte auf und sage: Ich finde es nicht gut, dass man meinen Benutzernamen und mein Kennwort nicht mehr so einfach beim Login mitlesen kann.
Die Forensoftware kann nunmal nur ein Protokoll, und die Entscheidung ist pro HTTPS gefallen - eigentlich schon längst überfällig - auch ohne DSGVO. Wir leben nunmal nicht in einer heilen Welt und ich wette viele hier benutzen hier Passwörter, die sie auch woanders einsetzen. Insofern war das der richtige Schritt.
-
Und um nochmal ein bisschen Wind hier rauszunehmen: Mit meinem Falcon und Netsurf kann ich mir das Forum prima angucken... Und soweit ich weiss, läuft Netsurf auch auf der Firebee. Ich bin gespannt auf die Erklärung @Mathias ... Veränderung ist manchmal nicht einfach, aber man kann sich auch mal darauf einlassen und versuchen dem Ganzen etwas Gutes abzugewinnen.
-
Es ist auch nicht richtig daß eine Verschlüsselung unumgänglich ist. Im Art. 32 DSGVO Abs. 1 (a) geht es nämlich erstens um Firmen (!) und zweitens um "personenbezogene Daten" die gespeichert werden (als ob ein Forum nicht sowieso pseudonymisiert wäre). Warum sogar das Lesen damit nur mehr per https möglich sein sollte erschließt sich mir nicht.
IANAL, aber da liegst du falsch im zweiten Teil. Gerade eine Pseudonymisierung schützt nicht vor Anwendung des Datenschutzes (schon des alten BDSGs, ist nichtmal eine Änderung), denn solange eine Identifikation möglich ist, durch zuweisbare Merkmale, ist man „dabei“. Nur eine komplette Anonymisierung würde „helfen“, aber das will auch keiner.
Ich kann deinen persönlichen Schmerz nachvollziehen, ich habe den wo anders auch ähnlich. Aber: Die Zeit dreht weiter, der Atari bzw. seine Software ist halt vor 20 Jahren stehengeblieben. Es ist halt absehbar, dass das nicht mehr beliebig funktioniert. Mit einem meiner anderen Hobby-Rechner kann ich effektiv keine Mails mehr lesen, weil der noch kein MIME, kein QPE und kein UTF-8 kann. Muss man halt selbst drumrumarbeiten, oder es akzeptieren. Die IT-Welt bleibt nicht auf dem Stand von Atari 1999 stehen.
Oder du nimmst einen Proxy. Es muss kein Bluecoat sein, und er muss keine Verschlüsselung „aufbrechen“, wenn es dir nur ums Forum geht, er kann einfach „Endpunkt“ der Verschlüsselung sein. Sowas geht durchaus. Aber das führt hier zuweit.
-
[…]
Einserseits verstehe ich ja Matthias, die jüngsten Meldungen zu Intel/AMD/ARM Sicherheitslücken (Spectre, meltdown) bestätigen mal wieder, das moderne Rechner und Betriebssysteme nicht sicher sind. Aber Autofahren oder über eine Straße laufen ist auch nicht sicher, selbt auf dem Rad und im Zug kann einem was passieren.
[…]
Bei aller Begeisterung, aber der Atari ist nur deswegen nicht betroffen von Sicherheitslücken, weil er unterm Radar nicht detektierbar ist. „Sicher“ ist er nicht, im Gegenteil, da ist jede Menge sowas von im Argen, einfach weil das damals bei den meisten Autoren nicht auf dem Programm stand und keinen kümmerte. Und peer reviews oder Audits von exponierter Software am Atari hat mWn auch noch keiner gemacht, nicht in den TCP-IP-Stacks, nicht im Browser-Renderer, nicht in den Bilddarstellungsroutinen. Da wette ich eine Kiste Bier drauf, dass das löchriger Käse ist. Zumal den meisten Ataris prinzipiell jede Menge aktueller Sicherheitsmechanismen fehlen.
(Gilt genau so übrigens auch für Acorn, Amiga, Apple Mac 68k/PPC …)
-
SSL bietet nunmal handfeste Vorteile. Natürlich kann man IT-Systeme nicht vollständig sicher machen, sobald sie am Netz hängen, aber man kann die Angriffsvektoren einschränken. HTTP-Verkehr zu belauschen ist nun wirklich kein Hexenwerk. Und jetzt stehe der bitte auf und sage: Ich finde es nicht gut, dass man meinen Benutzernamen und mein Kennwort nicht mehr so einfach beim Login mitlesen kann.
Full ACK. (und ergänzend: HTTPS verhindert/erschwert auch, dass fremder Code injiziert werden kann, vom Provider oder anderen dritten)
-
gh-baden, du hast natürlich vollkommen recht. Im Atari gibt es keinen Speicherschutz, ja unter MiNT kann man das einschalten, aber dann läuft noch weniger. Und per Default ist es zumindestens in easymint sowieso ausgeschaltet. TOS und MiNT und alle Programme sind sicher voll von Code-Injection-Lücken und was man sich sonst noch so vorstellen kann. Es gibt keine Festplattenverschlüsselung, keine Rechteverwaltung im Dateisystem, auch unter MiNT ist das wirkungslos weil es nur einen User gibt, der Root ist und somit sowieso alles darf, und Daten sind nur deswegen vor neugierigen Blicken versteckt, weil bei vielen Programmen das Dateiformat nicht dokumentiert ist. Mit genug Rechenleistung ist das alles kein Hexenwerk. Wer glaubt, weil er ein - aus heutiger Sicht - Nischensystem nutzt, sicher zu sein, irrt gewaltig. Wahrscheinlich kann man heute sogar das analoge Monitorsignal in absoluter Schärfe per Antenne aus 100 Meter Entfernung empfangen und darstellen und aufzeichnen, vielleicht schafft man es sogar, per Funk auf dem Prozessorbus mit zu lauschen., so starke Störstrahlenaussendung (Thema EMV) haben die ollen Dinger.
Wer sicher sein will, soll sich den Linux-Quellcode vorknöpfen, den Compiler-Quellcode natürlich auch, und sich sein System selber kompilieren, das ist dann vielleicht sicher. Vorrausgesetzt, man findet die Zeit das alles zu lesen und zu verstehen. Und am Ende sitzt der lauschende Trojaner auf Johannes seinem Forenserver und lauscht dort für die NSA vor der Verschlüsselung mit, da ist es dann ganz egal ob man einen Windows-10-PC mit Edge oder eine Firebee mit Netsurf nutzt...
-
Leute, lasst uns nicht zu sehr abdriften, bitte ;-)
-
Leute, lasst uns nicht zu sehr abdriften, bitte ;-)
Komm, gibts zu, dein Server lauscht mit!!! ... :P (der weiß alles!)