HTTPS/SSL-Verschlüsselung im Thinkpad-Forum

[GreenStorm]

Habe heute auch die Meldung bekommen, dachte erst es liegt an mir. Warum wird für ein Forum eigentlich eine https-Verbindung gebraucht?

Je mehr Verschlüsselung, desto besser :Oldtimer:
SSL ist ja ohnehin nur Transportverschlüsselung, aber eindeutig sehr viel besser als nichts.

 

[b025]

Klar, auch wenn mir nicht bewusst ist was an den Daten hier wirklich sensibel sein sollte. Außer man hat ein paar PNs wo sensible Daten wie Bankdaten etc. ausgetauscht werden...

Ich hoffe mal das Torsten das Zertifikat auch wirklich morgen erneuert, die Fehlermeldungen lassen ja kaum ein Schreiben von Beiträgen zu. Ist es eigentlich zwingend dass die nur für 1 Jahr ausgestellt werden?

 

[netghost78]

Man kann die Zertifikate auch für 3 Jahre ausstellen lassen.
torsten sollte auf dem Server ein Script in die crontab packen, das ihn rechtzeitig vor Ablauf warnt. Somit kann sowas nicht mehr passieren.

 

[moronoxyd]

Torsten hat das Zertifikat wie angekündigt ausgetauscht, es sollte jetzt also keine Warnungen wegen des abgelaufenen Zertifikats mehr geben.
Und da das neue Zertifikat für 3 Jahre gültig ist, sollte sich das Problem auch nicht so bald wiederholen

 

[dark_rider]

Bei meinem Webspace ist das mit dem SSL-Zertifikat (auch) so dämlich, dass man dieses nicht einfach einmalig bucht wie den Webspace selbst und regelmäßig die Abrechnung dazu erhält, und es einfach weiterläuft solange man nichts ändert oder kündigt - sondern man muss das SSL-Zertifikat turnusgemäß aktiv erneuern / neu bestellen. Mein Hoster erinnert mich immerhin rechtzeitig daran, aber warum man es immer aktiv neu beauftragen muss, ist mir noch nicht ganz klar. Solange das Zertifikat weiter bezahlt wird, sollte doch alles OK sein - eine erneute aktive Beauftragung bringt doch keinen großen Sicherheits-/Identitätsgewinn. Haben da vielleicht die SSL-Zertifikats-Issuer einfach nur einen extrem schlechten Auftragsabwicklungsprozess?

 

[Mitsch87]

aber warum man es immer aktiv neu beauftragen muss, ist mir noch nicht ganz klar.

Weil ein SSL-Zertifikat eine gewisse Laufzeit hat und die ist fix. Wenn es "länger laufen" soll, muss ein neues bestellt und installiert werden (sozusagen das alte ersetzen).

 

[dark_rider]

Das mag ja sein, nur warum erfolgt die Neubestellung dann nicht - wie bei allen anderen Dienstleistungen drumherum ja auch (den Webserver, den Telekom-Anschluss, die Handy-SIM oder Strom muss ich ja auch nicht jährlich aktiv neu bestellen und ansonsten geht dann plötzlich gar nichts mehr) - automatisch seitens Issuer oder Provider? Ich emfinde den derzeitigen Vorgang für alle Seiten als unnötigen Aufwand. OK, vielleicht noch irgendwie entfernt nachvollziehbar, weil ein SSL-Zertifikat im weitesten Sinne einem Ausweis ähnelt - aber selbst den Personalausweis muss man ja nicht 1-3-jährlich erneuern, sondern nur alle 10 Jahre.

 

[Mitsch87]

Dann beschwer dich bei deinem Hoster/Anbieter/Dienstleister, dass sein Workflow schlecht ist.
Ich persönlich verwende Lets Encrypt - Laufzeit 8 Wochen - und erneuere die Certs via Cronjob automatisch... Achja und kostenlos ist es natürlich auch noch...

 

[Helios]

Dann beschwer dich bei deinem Hoster/Anbieter/Dienstleister, dass sein Workflow schlecht ist.
Ich persönlich verwende Lets Encrypt - Laufzeit 8 Wochen - und erneuere die Certs via Cronjob automatisch... Achja und kostenlos ist es natürlich auch noch...

Kann man bei Let's Encrypt nicht auch längere Laufzeiten haben?

Übrigens... Firefox ab Version 50 vertraut ja auch auf Roots von Let's Encrypt.
Let's Encrypt Root to be Trusted by Mozilla

 

[Mitsch87]

Meines Wissens nach nur max. 8 Wochen, sollte dann jemand Unfug damit treiben, wird entsprechend revoked... Ist mir ja aber auch egal, könnte auch eine Laufzeit von 2 Wochen haben, dann hätte ich halt weniger E-Mails von cron mit:

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Cert not yet due for renewal

und mehr mit:

Saving debug log to /var/log/letsencrypt/letsencrypt.log
Cert is due for renewal, auto-renewing...
Starting new HTTPS connection (1): acme-v01.api.letsencrypt.org
Renewing an existing certificate

Auf der anderen Seite überwache ich mit Check_MK aber auch meine SSL-Certs und bekomme wenigstens E-Mails, sollte eines in kurzer Zeit ablaufen. Hier hapert es wohl im Forum noch.
Sollten der/die Forenbetreiber hier Hilfestellungen brauchen bezüglich Monitoring mit Check_MK/OMD um den/die Server ordentlich zu überwachen - gerne fragen...

 

[haarp]

Kann man bei Let's Encrypt nicht auch längere Laufzeiten haben?

Nein, und das ist Absicht. Der Sinn dahinter is zum einen den Zeitraum zu beschränken, in dem ein geleaktes Cert Probleme macht, und zum anderen Admins dazu zu zwingen, den Prozess zu automatisieren. Nur so kann man flächendeckend TLS ausfahren.

 

[cuco]

Warum wird für ein Forum eigentlich eine https-Verbindung gebraucht?

Es gibt viele Gründe, aber ich nenne dir mal einen:
Schreibst du deinen Benutzernamen und dein Passwort auf eine Postkarte und verschickst sie an den Forenbetreiber? Oder packst du das ganze mindestens in einen Briefumschlag? Ganz ähnlich verhält es sich beim Login ohne bzw. mit HTTPS.

 

[b025]

Ich kenne einige sehr große Foren wo es kein https-Verschlüsselung gibt. Aber das soll hier jetzt nicht zu einer umfangreichen Diskussion "ausarten"

 

[Lpz3sn]

jede webseite sollte heute https sprechen...