tweakers SSL

[Phalox]

Naar aanleiding van het nieuwsbericht vandaag:

Een wachtwoord is één ding, en dan denken mensen dat hun account veilig is. Maar session hijacking is ook op Tweakers geen enkel probleem.
Aangezien je voor een heel jaar ingelogd kan blijven, zal diezelfde cookie die de sessie identificeert bij elke page load meegestuurd worden.

SSL encryptie is mogelijk, maar wordt nergens geforceerd! Misschien is dat iets wat jullie zelf niet willen, maar ik zie ook nergens een optie bij mijn profiel om specifiek voor mijn account SSL te forcen.
Op deze schaal (ik doe zelf enkel web development voor kleinere organisaties) kan alle verkeer op SSL wel wat meer load vergen.

Mis ik iets?

[crisp]

In de eerste plaats kan je de veiligheid van je sessie verhogen door deze aan IP te koppelen.

Het klopt dat we geen site-wide https aanbieden (sinds kort wel voor alle pagina's onder my.tnet), en dat heeft meerdere redenen: niet alleen vergt dat behoorlijke aanpassingen (je moet immers alles over https laten gaan, ook statische bestanden zoals plaatjes, scripts en stylesheets), maar het is voor sommige zaken (bijvoorbeeld banners) praktisch zelfs onmogelijk. Nu met alleen de my.tnet pagina's over https lopen we al tegen problemen aan.

[Phalox]

Dat kan ik enkel beamen. Daarom ook dat alle source files via relatieve paden geprogrammeerd moeten worden.

Als Belg zijnde (met ons 'fantastisch internet'), hebben we hier nog geen statisch IP. Ik zou niet graag hebben dat mijn buurman morgen op mijn account zit rond te surfen :-)
Daarbij loop je met je laptop rond op de campus van de universiteit, waar je vaak één gemeenschappelijk IP hebt. Dus op die manier lijkt het me ook geen geweldige oplossing.

Ik vond het vooral opmerkelijk hoezeer er onderzoek is gedaan naar de veiligheid van de wachtwoorden, terwijl iets als session hijacking schering en inslag is (en dat is een factor die afhankelijk is van - in de eerste plaats - de site zelf, en daarnaast van de user).

[crisp]

Relatieve paden gebruiken is weer lastig als je meerdere domeinen gebruikt zoals wij Protocol-loze uri's is nog wel iets waar we naar willen kijken (en we op sommige plekken zelfs al hebben moeten toepassen).

[Phalox]

Nogmaals waar ja :-) Misschien kunnen simlinks dan helpen?
Maar op deze schaal gaat het m'n petje wel te boven :-) Het blijft nog steeds een geweldig goede site.

[Asgaro]

Dacht al wel dat er topics over dit HTTPS gebeuren gemaakt zouden zijn, dus dan post ik hier maar.

Ik krijg nu telkens dit:




( En Chrome geeft dan verwijzing naar https://support.google.co...r.py?hl=en&answer=1342714 )

Nu, ik heb de oudere posts gelezen en zo te zien geven jullie nog geen prioriteit aan volledige HTTPS. Wat ik wel deels begrijp.
Maar ik wou toch even een reactie plaatsen om aan te geven dat ook ik een volledige HTTPS-implementatie leuk zou vinden.

Denk dat ik Tweakers.net maar op de whitelist van mijn KB SSL Enforcer extension zal zetten for the time being

[ Voor 7% gewijzigd door Asgaro op 12-04-2012 14:01 ]

[ACM]

Met onze nieuwe loadbalancers kunnen we eenvoudiger SSL-termination gebruiken zonder gelijk moeilijk te moeten doen om SSL te krijgen in de losse webservers die we gebruiken (Varnish heeft bijvoorbeeld geen SSL-optie).

Zodra deze volledig ingezet zijn kunnen we in ieder geval een van de technische hindernissen wegnemen. Alle problemen die crisp noemt blijven dan overigens bestaan, dus het zal voorlopig alsnog geen prioriteit krijgen.

En we moeten natuurlijk ook wel reeel blijven. Tweakers.net is niet een site waar je veel persoonlijke gegevens neerzet of belangrijke prive-informatie hebt staan (zoals een bank ofzo). Dus de noodzaak voor SSL is niet enorm groot, ondanks dat je het misschien een prettiger gevoel vindt.

[ Voor 3% gewijzigd door ACM op 14-04-2012 16:46 ]

[Alexxxxxxxxxx]

Wanneer worden deze load balancers in gebruik genomen?

[MueR]

Die zijn al lang in gebruik hoor.

[ACM]

Maar we hebben nog geen tijd gehad om de SSL-opstelling er naar toe te verhuizen.