HTTP of HTTPS ?

[Verwijderd]

Aangezien je tegenwoordig veel remote dingen op je server kunt doen stelde ik mij vandaag de vraag waar wel of geen HTTPS te gebruiken. Eigenlijk denk ik hier altijd aan wanneer ik zoiets gebruik. Wat informatie er over delen lijkt me een goed idee.

Ik heb een klein lijstje gemaakt voor wat webbased services die je zou kunnen gebruiken.

Webmail => als je het mij vraagt HTTPS, lijkt me vrij logisch en veilig.

PHPmyAdmin => Kan ik geen zinnig woord over zeggen, eigenlijk omdat ik niet weet of de blowfish hiervoor wordt gebruikt

Spamfilter => Er bestaan spamfilter-portals als Maia, er zijn er nog wel wat meer. Misschien een idee om toch te doen omdat je hier ook je mail kan lezen, en tevens omdat vaak dezelfde wachtwoorden worden gebruikt voor webmail/phpmyadmin/maia/enz.

FTP-client => Als ik ergens ben gebruik ik soms een webbased FTP-client. Wanneer moet je deze met HTTPS gebruiken ? Normaal FTP is toch ook niet secure ? Er zijn wel SFTP-javascripts, helaas heb ik hier geen geld voor

Webmin => Het hart van je server, laten we die maar even HTTPS doen.


Zijn er webbased services die je veel gebruikt die ik over het hoofd zie ? Misschien dat iemand wat aanvulling heeft.

[Koffie]

Move PNS > NT

[Verwijderd]

Koffie schreef op woensdag 12 oktober 2005 @ 21:06:
Move PNS > NT

Dank je wel. Volgende keer zal ik beter mijn best doen!

[Gomez12]

Hebben we het hier over een server of over een thuis-server??? Want dit maakt redelijk verschil.Voor een echte server (/-park) ben ik altijd vrij simpel. Gooi er maar een goedkope server naast die je in de dmz zet, en die hooguit webmail en ftp en www kan aanbieden. Geen echte server gaat bij ons rechtstreeks aan het internet. En voor een echte server webmin / phpmyadmin aanbieden???

Maar ok thuisserver dan : Webmail kan bij mij gewoon over http, de prive-dingen / belangrijke dingen komen niet op een webmail die via inet te benaderen is, kan ik net zo goed een hotmail / gmail account voor gebruiken.

Phpmyadmin, zie niet in waarom dit uberhaupt rechtstreeks via internet te benaderen zou zijn ( alhoewel ik wel een scriptje heb staan waardoor ik via ssh / verschillende poorten te telnetten mijn phpmyadmin kan activeren.

Spamfilter??? Mijn spamfilter gooit alle spam in een aparte map en dan zie ik het later wel.

ftp-client. Wel https, want ik heb hier nogal eens de neiging om priv-ftp's in op te slaan.

webmin. Wederom wat moet ik hiermee vanaf inet, het is een util die gemaakt is om je server makkelijker te beheren. Dus alleen intern netwerk toegang.

mldonkey. Wel https want anders staan mijn schijven zo snel vol...

Mijn cups-printer. Wel https, want het is wel eens makkelijk om iemand iets te laten uitprinten wat bij thuiskomst op de printer ligt. Maar papierla hoeft niet na 2 uur leeg te zijn.

Mijn in-line proxy client ( opent een frameset waarin je bovenin het adres kan intypen en onderin verschijnt de pagina opgehaald via mijn eigen pc ) wel https, scheelt behoorlijk wat filter-blokkades en zorgt ervoor dat ik op sommige plekken wel op ip-gebonden sites kan komen.

En dan nog enkele websites die over https en http verlopen dit naar gelang de behoeve van privacy etc.

[Verwijderd]

Bij ons op het werk kan ik via een Citrix verbinding overal bij komen, inloggen natuurlijk via HTTPS. Verder is er geen andere mogelijkheid om bij ons binnen te komen. Het enige wat buiten de Citrix poorten open staat is poort 25 om mail te ontvangen. En dat is zowel in de firewall als op de mailserver zelf op een vast ip adres ingesteld.

Thuis heb ik een webmail, gewoon http. Opzich wel onveilig, maar dat is dan maar zo. Tunnelen en je zit wat veiliger.

PHPMyAdmin kan je niet benaderen vanaf extern zonder het juiste IP + user/pw. Dus dat hoeft geen https te zijn van mij. Dan daarbij moet je dan eerst een dns verandering doorvoeren, hij reageerd dan sowieso alleen op aangepaste dns naam die niet op internet staat.

Ik heb thuis ook hamachi draaien, en daarnaast ook nog HTTHost (http tunneling software). Zo kan ik altijd redelijk secure via het thuisfront internetten.

Verder, alles waar ik persoonlijke gegevens (NAW, etc) in moet vullen wil ik dat het via HTTPS kan, anders krijgen ze het niet van me. Dus ik zorg er voor dat anderen dat ook kunnen op mijn website.

[Verwijderd]

OK, duidelijk, maar hoe veilig is het bijvoorbeeld wanneer je inlogt op phpMyAdmin zonder https ? Ligt een beetje aan de inlog-versie die je zal gebruiken, ga uit van de web-login.

Een goed voorbeeld is:

Hang een bak als dedi in een datacenter en laat je klanten hun website erop draaien.

Niet dat ik dit ga doen, maar dit lijkt me een goed voorbeeld omdat je hier wel veilig mee om moet gaan. Ik voel me altijd klant van mezelf dus wil veilig kunnen werken op afstand met de middelen die ik aangegeven heb.

[Gomez12]

Verwijderd schreef op woensdag 12 oktober 2005 @ 21:40:
Verder, alles waar ik persoonlijke gegevens (NAW, etc) in moet vullen wil ik dat het via HTTPS kan, anders krijgen ze het niet van me. Dus ik zorg er voor dat anderen dat ook kunnen op mijn website.

Dit soort dingen lees ik wel vaker. Maar ik vraag me dan af wat https dan precies doet. Volgens mij zorgt het alleen voor het stukje communicatie tussen mijn pc en de website. En in 99 van de 100 gevallen maak ik me meer zorgen over wat de website met mijn gegevens gaat doen dan of de verbinding niet afgeluisterd wordt ( of gefished of weet ik veel wat nog meer ). En daarom is het bij mij altijd een afweging, eerst van vertrouw ik deze site met mijn gegevens en zoja indien https aanwezig is dan liever https anders maar alleen http, maar als ik de site vertrouw dan vul ik het over het algemeen wel in.

[Verwijderd]

Gomez12 schreef op woensdag 12 oktober 2005 @ 21:50:
Dit soort dingen lees ik wel vaker. Maar ik vraag me dan af wat https dan precies doet. Volgens mij zorgt het alleen voor het stukje communicatie tussen mijn pc en de website. En in 99 van de 100 gevallen maak ik me meer zorgen over wat de website met mijn gegevens gaat doen dan of de verbinding niet afgeluisterd wordt ( of gefished of weet ik veel wat nog meer ). En daarom is het bij mij altijd een afweging, eerst van vertrouw ik deze site met mijn gegevens en zoja indien https aanwezig is dan liever https anders maar alleen http, maar als ik de site vertrouw dan vul ik het over het algemeen wel in.

Ja dôh, ik ga echt mijn gegevens niet invullen op een website die ik niet vertrouw. Maar het gaat me meer tegen de sniffers op het netwerk, vandaar dat ik https wel lekker vind. Dus alles met password / usernames / etc wil ik daar overheen krijgen (zeker als ik via een extern netwerk ga).
Tweakers.net mag mn gegevens wel hebben, paar andere grote websites ook. Internet winkel vind ik ook wel goed (ligt aan de naam/bekendheid).

[Gomez12]

Verwijderd schreef op woensdag 12 oktober 2005 @ 23:58:
[...]

Ja dôh, ik ga echt mijn gegevens niet invullen op een website die ik niet vertrouw. Maar het gaat me meer tegen de sniffers op het netwerk, vandaar dat ik https wel lekker vind. Dus alles met password / usernames / etc wil ik daar overheen krijgen (zeker als ik via een extern netwerk ga).
Tweakers.net mag mn gegevens wel hebben, paar andere grote websites ook. Internet winkel vind ik ook wel goed (ligt aan de naam/bekendheid).

En dat stukje van sniffers snap ik dus niet...
Ik internet voornamelijk vanuit thuis met een kabel verbinding van casema. Ben ik te naief om te denken dat casema uit de 1000'en klanten niet mij gaat sniffen, maar eerder 1 of andere zakelijke klant waar wel geld vandaan te halen valt???

Sniffen klinkt altijd zo leuk, maar ik denk altijd maar dat ik voor 99,99999% gewoon compleet verloren ga in de gigantische datastromen die er tussen providers / ams-ix etc gaan. Kijk sommige makkelijke te traceren doelwitten ( www.mijnpostbank.nl / www.abnamro.nl / www.ing.nl etc etc ) daar wil ik wel dat het https is. Maar ik denk echt niet dat er ook maar iemand bij casema / een tussenpunt / redbus mijn wachtwoord van www.tweakers.net / willekeurige andere site gaat proberen te sniffen, brute-forcen ok, social engineering ok, educated guessing ok, maar sniffen nee, dit zou veels te specifiek op mij / tweakers.net gericht moeten zijn en zolang ik alleen maar niet staatsgevaarlijke / kinderporno sites bezoek denk ik echt niet dat het risico op sniffen groot is. Zou ik dit wel denken dat gewoon ergens een groot vpn opzetten en dan een heleboel mensen via dat vpn laten surfen zodat mijn gegevens weer in 1 grote stroom verzanden.