[feat] HTTPS/SSL op Tweakers/GoT

[StM]

Dat HTTPS voorkomt dat een werkgever niet mee kan lezen is helemaal geen gegeven. Er zijn er die zo ver gaan om hun HTTP proxy te boel te laten mitm'en door een CA certificaat in de image op te nemen en gewoon on the fly certificaten te genereren.

[Dido]

StM schreef op vrijdag 24 oktober 2014 @ 14:26:
Dat HTTPS voorkomt dat een werkgever niet mee kan lezen is helemaal geen gegeven. Er zijn er die zo ver gaan om hun HTTP proxy te boel te laten mitm'en door een CA certificaat in de image op te nemen en gewoon on the fly certificaten te genereren.

Dat doet mijn huidige opdrachtgever ook. En als dat geen mogelijkheid was geweest hadden ze waarschijnlijk (nah, vrijwel zeker) nooit SSL geimplementeerd.

(De belangen van de opdrachtgever bij het niet weten wat er naar binnen of naar buiten gaat wegen redelijk eenvoudig op tegen de individuele (privacy) belangen van de werknemers, dus dan is dat niet zo heel erg gek)

[Voutloos]

Verwijderd schreef op vrijdag 24 oktober 2014 @ 14:22:
Nieuwssites zijn publiek, er staat voornamelijk content op die voor iedereen bedoeld is. Waarom zou je dat willen versleutelen?

(Ik pak nu deze quote, maar oa GateKeeper, Ger maken soortgelijke opmerkingen)

SSL zegt niets, nada, noppes over publiek zijn van de resource (==toegang tot resource), de context van deze discussie gaat niet over autorisatie.

In deze use case: Iedereen mag nieuws op tweakers lezen, maar dat betekent nog niet dat iedereen het verkeer tussen een lezer en tweakers mag lezen of zelfs manipuleren. En dan is er ook nog het verschil tussen enkel weten dat je iets met site X doet, versus weten wat je specifiek interessant vind, het omgaan met naw gegevens van abo's, betaalgegevens, vervelende users, embargo's, en alle vacatures die jij hier onder werktijd leest.

Soit, t.net kan je wellicht (anno nu) beschouwen als minder gevoelig dan je banksite of een site met meer schimmige onderwerpen. De tradeoff met performance is dan ook lastiger, maar imo kan je de keuze niet eens goed bij gebruikers neer leggen. Heck, ik leg in deze post het verschil tussen ssl en publiek toegankelijk uit aan een developer. Dat moet ook kunnen (no offence intended), maar ik verwacht dan al helemaal niet dat een minder technische bezoeker alle ins en outs weet.

[ Voor 21% gewijzigd door Voutloos op 24-10-2014 15:04 ]

[GateKeaper]

Voutloos schreef op vrijdag 24 oktober 2014 @ 14:43:
[...] En dan is er ook nog het verschil tussen enkel weten dat je iets met site X doet, versus weten wat je specifiek interessant vind, het omgaan met naw gegevens van abo's, betaalgegevens, vervelende users, embargo's, en alle vacatures die jij hier onder werktijd leest.

Zoals ik ook schrijf; mensen moeten zich maar eens bewust worden van het feit dat internet een openbaar medium is. "alle vacatures die jij onder werktijd leest". Misschien zouden mensen dat soort dingen gewoon eens niet onder werktijd moeten doen? Daar heb je toch je privé tijd voor?

Daarnaast, SSL zorgt er niet voor dat er geen user-tracking meer mogelijk is. Het profileren van iemand, dus het bijhouden van "het omgaan met naw gegevens, betaalgegevens, vervelende users" staat daar ook weer los van.

Ik ben het overigens met je eens dat naw- en betaalgegevens privé zijn. Voor dergelijke zaken mag wat mij betreft ssl dan ook verplicht worden. Echter blijf ik bij mijn standpunt; voor het lezen van een nieuwssite, hoeft wat mij betreft geen ssl te worden geïmplementeerd. En als mensen zich schamen voor de reactie die ze daar plaatsen, dan moeten ze die misschien gewoon niet plaatsen. Berichten zijn vrijwel altijd te herleiden, ssl brengt daar geen verandering in.

[PrisonerOfPain]

GateKeaper schreef op vrijdag 24 oktober 2014 @ 14:49:
Misschien zouden mensen dat soort dingen gewoon eens niet onder werktijd moeten doen? Daar heb je toch je privé tijd voor?

Leuk, maar daar heb jij natuurlijk niks over te zeggen en het is om die reden natuurlijk dan ook een ongeldig argument.

[GateKeaper]

PrisonerOfPain schreef op vrijdag 24 oktober 2014 @ 14:51:
[...]


Leuk, maar daar heb jij natuurlijk niks over te zeggen en het is om die reden natuurlijk dan ook een ongeldig argument.

Klopt, heb ik niets over te zeggen. Maar het is (inderdaad, naar mijn mening) een zwak argument om ssl op een nieuwssite / vacature openbare site te moeten hebben.

"Ja, er moet ssl worden toegepast, want anders komt mijn baas erachter dat ik onder werktijd surf".

[ Voor 13% gewijzigd door GateKeaper op 24-10-2014 14:55 ]

[NMe]

https://blog.kissmetrics.com/speed-is-a-killer/

[Nvidiot]

Ik zou er al blij van worden als het posten op het forum ook met https kan. Ik gebruik https everywhere en dat werkt best goed, maar als ik post krijg ik nog een waarschuwing van mijn browser dat de pagina https is maar de post niet.

[Voutloos]

Nvidiot, ik gok dat dat eigenlijk ook al moet kunnen werken, maar dat https everywhere (gebruik het zelf ook ) deze form target gewoon nog niet herschrijft.

(Om te testen heb ik deze post via https gepost, dus 't moet al kunnen )

edit:
Hoera, werkt echt, ik doe wel suggestie bij addon maker.

[ Voor 12% gewijzigd door Voutloos op 24-10-2014 15:32 ]

[incaz]

Ik vind het persoonlijk onvoorstelbaar hoe ok men het blijkbaar vindt dat je je hele gedrag aan moet passen - 'dan moet je het maar niet plaatsen', 'dan moet je maar niet kijken' - dat doet mij vooral denken aan verhalen over de USSR. Dat is niet ok - wij hebben de vrijheid nodig. Vrijheid om niet-gemanipuleerde informatie te lezen, om niet gecontroleerd te worden, en om niet gecensureerd te worden. Niet door werkgevers en niet door de overheid en niet door hackers.

Heel veel ingewikkelder dan dat is het niet - SSL lijkt me dus uiteindelijk essentieel voor het internet en voor onze samenleving.

[GateKeaper]

SSL is daar niet de oplossing voor. Ook met SSL kan achterhaald worden welke sites je bezoekt, (immers moet je provider je toch ook kunnen doorsturen naar de juiste website), en ook met SSL kan informatie worden gecensureerd.

Ik ben het volledig met je eens wanneer je zegt dat wij vrijheid en privacy nodig hebben. Maar SSL is in die zin geen oplossing om vrijheid en privacy te waarborgen.

En zelfs dan, om toch wat "ontopic" te blijven; moet een site als Tweakers.net (en dan doel ik vooral op de frontpage), serieus hun nieuwsartikelen over https verzenden, omdat persoon x niet wil dat zijn baas weet dat hij tweakers.net leest onder werktijd?

[ Voor 24% gewijzigd door GateKeaper op 24-10-2014 16:34 ]

[Douweegbertje]

Valt me vies tegen dat hier de helft niet snapt waar je SSL voor gebruikt. Termen als "het is een vereiste voor onze samenleving" laten mij domweg lachen. Nu denk je misschien, goh waarom reageert hij zo overdreven gaar: nou omdat je niet eens de basis van SSL snapt.

Begrijp gewoon eerst dat SSL is gemaakt om private informatie ook daadwerkelijk private te houden. Verkeer dat verstuurd wordt voornamelijk van een publiekelijke plaats zou daarom middels SSL verstuurd moeten worden. Immers kunnen mensen je gegevens anders -eventueel- inzien. Dit is vooral belangrijk met -alle- dingen wat -niet- publiekelijk is. Denk hierbij aan een PM, het registreren en het inloggen.
Al het andere is gewoon al publiekelijk. Ik kan haast niet vertellen hoe 'stom' het klinkt om publiekelijk materiaal af te schermen, terwijl iedereen het toch kan zien.

Tweakers onder HTTPS zetten is precies het zelfde zoals het nu is, behalve je hebt een extra technische implementatie en eventueel wat meer load.

Wat uiteraard dan wel een vereiste zou moeten zijn is het inloggen via HTTPS, idem als PM's en registratie of elk ander aspect waar prive informatie wordt verstuurd wat dus niet public is.


Verder: Als jij HTTPS wilt omdat je -denkt- dat je dat zekerheid geeft op anonimiteit (want DAAR hebben een aantal het over) dan heb je het al per definitie fout EN pak je nog eens het verkeerde protocol c.q. aanpak daarvoor. Immers zit je al op een publiekelijk netwerk waarbij per definitie al je anonimiteit verloren is, ongeacht of dit HTTP of HTTPS is. Ga alsjeblieft niet met zo'n argument dus komen.

Zet dan een tunneltje op of wat dan ook, om een zekere vorm van garantie te krijgen dat je anoniem kan surfen. Even simpel gezegd; als HTTPS de oplossing was, dan kon je in elk land waar censuur was gebruik maken van HTTPS.. maar guess what. Dat is niet de oplossing voor zoiets.
Daarnaast zit je gewoon met je account, waar niets anoniems aan is


Nog even wat incaz zegt; je werkgever of overheid kan alles zien. Weet je waarom? Omdat je hier op een openbare plek loopt te posten. Ik heb zo al jouw berichten opgevangen hoor, en raad eens? Het boeit geen ene moer of je dat nu via HTTP of HTTPS hebt gepost want het is public.

[incaz]

Douweegbertje schreef op vrijdag 24 oktober 2014 @ 16:57:
Begrijp gewoon eerst dat SSL is gemaakt om private informatie ook daadwerkelijk private te houden.

Het is (oa) ook om integriteit van sites te garanderen en van de communicatie heen en terug. Dat is bijvoorbeeld ook relevant voor niet-publieke wifi's, en waar mensen tussen jouw wifiverbinding in gaan zitten zonder dat je dat doorhebt. Mag ik toch nog even wijzen op de security expert Troy Hunt, die daar best veel over heeft geschreven?
(Een recente post, http://www.troyhunt.com/2...pning-out-from-great.html )

Het is zeker niet zo dat het voor Tweakers meer prio heeft dan bij banken, maar het doet wel zeker terzake.

Al het andere is gewoon al publiekelijk. Ik kan haast niet vertellen hoe 'stom' het klinkt om publiekelijk materiaal af te schermen, terwijl iedereen het toch kan zien.

Nee, niet iedereen kan het zien als het encrypted is. Niet alles wat je naar Tweakers post is publiekelijk zichtbaar. Niet iedereen hoeft ook te weten als welke gebruiker je bent ingelogd op de site, en dat is informatie die uit kan lekken bij niet-encrypted data.

Dat voorbeeld was ook al op de frontpage gegeven: stel, je post (vanaf huis) een kritische opmerking over de beveiliging van de bankensoftware. Je hoeft maar 1 keer per ongeluk via het bedrijfsnetwerk op tweakers terecht gekomen te zijn, en je gebruikersnaam kan bekend zijn bij je werkgever. Terwijl die koppeling niet gemaakt had kunnen worden als de communicatie encrypted was verlopen. Zonder die informatie had men een verzoek moeten indienen via de rechter over vrijgeven van de persoonsgegevens van iemand onder een gebruikersnaam, Tweakers geeft die zaken niet zomaar vrij, volgens hun privacypolicy.

Veel gebruikers zijn makkelijk op te sporen via de informatie die ze publiekelijk delen op tweakers, maar dat geldt zeker niet voor iedereen.

Dat is dus een vrij wezenlijk verschil met wel degelijk hele reele gevolgen.

Qua integriteit kan het ook te maken hebben met het stelen van sessions en posten onder andermans naam. Dat is een minder groot risico omdat dat vrij snel opgepakt zal worden door het team en op tweakers minder verstrekkende gevolgen heeft dan valse tweets of of facebook-updates, maar het is desondanks een veiligheidsrisico.

(Een niet heel veelvoorkomend maar wel mogelijk scenario: een gebruiker die de kritische opmerking over zijn werkgever maar voor de zekerheid doet onder de inlog van een collega die hij toch niet mag.)

Er zijn reele risico's en scenario's waar er schade gedaan kan worden. En nee, ik denk niet dat er hierdoor dagelijks mensen in ernstige problemen komen. Maar de achteloosheid waarmee mensen eroverheen stappen past zeker ook niet. Het hele internet een stuk veiliger (zowel qua manipulatie als privacy) lijkt mij echt belangrijk. En SSL is daar een deel van.

[Douweegbertje]

Heel verhaal, maar het enige wat je -weer- opnoemt is niet het probleem van Tweakers maar van jou zelf. Als jij niet wilt dat iemand weet dat jij incaz bent, en dat jij iets hebt gepost dan moet je zorgen dat je anoniem op het internet zit en daar is SSL niet de oplossing voor zoals ik al eerder had vermeld.

Ik ga het ook nog een keer zeggen dat SSL geen garantie is op anonimiteit, zeker niet als je op je bedrijfsnetwerk inlogt.

[incaz]

Ehm, SSL biedt de garantie eigenlijk wel. Als je via SSL inlogt kan het bedrijf jouw inloggegevens niet achterhalen. Dat is min of meer de hele basis van SSL, en van bv veilig bankieren - dat anderen jouw gegevens niet kunnen onderscheppen of beinvloeden. De url is wel achterhaalbaar, maar de frontpage van tweakers in het algemeen is toch beduidend minder belastend dan 'dit is gebruiker xyz.'

[F.West98]

Het bedrijf kan wél zien wanneer jij iets post, en kan zelf kijken welke post toen gepost is.

[Alex)]

incaz schreef op vrijdag 24 oktober 2014 @ 19:17:
Ehm, SSL biedt de garantie eigenlijk wel. Als je via SSL inlogt kan het bedrijf jouw inloggegevens niet achterhalen. Dat is min of meer de hele basis van SSL, en van bv veilig bankieren - dat anderen jouw gegevens niet kunnen onderscheppen of beinvloeden. De url is wel achterhaalbaar, maar de frontpage van tweakers in het algemeen is toch beduidend minder belastend dan 'dit is gebruiker xyz.'

Als je bedrijf een proxyserver heeft die aan SSL-MITM doet kan dat wel hoor. De proxyserver heeft dan inzage in alle requests die over de lijn gaan, doordat deze alle sessies onderschept, ontsleutelt, inspecteert en opnieuw versleutelt (met een door de proxyserver gegenereerd certificaat) voordat de inhoud op jouw scherm komt. In Iran heeft men dit zelfs op landelijke schaal gedaan ten tijde van het Diginotar-schandaal.

Google Chrome voorkomt dit deels doordat die browser een lijst aan boord heeft waarop staat welke CA's certificaten mogen uitgeven voor bepaalde domeinen. Omdat Diginotar niet op die lijst stond ging Chrome gillen toen een Iraniër naar GMail ging...

[incaz]

F.West98 schreef op vrijdag 24 oktober 2014 @ 19:34:
Het bedrijf kan wél zien wanneer jij iets post, en kan zelf kijken welke post toen gepost is.

Ja, maar je post niet via het bedrijfsnetwerk. Het gaat om het lekken van je inlognaam.

Alex): dat was inderdaad de uitzondering waarvan ik nog aan het nadenken was of ik die wel of niet moest posten. Wel dus Maar chrome rolt idd cert pinning uit.

[Mentalist]

Verwijderd schreef op maandag 15 september 2014 @ 12:17:
Waar heb je het over? GoT is gewoon openbaar, iedereen kan lezen wat je op GoT hebt gezet?

Zijn werkgever kan het wel lezen, maar zolang zijn werkgever niet weet achter welk usernaampje hij schuilt maakt dat niet zoveel uit.

Maar zonder HTTPS blijft dat niet lang geheim.

GateKeaper schreef op vrijdag 24 oktober 2014 @ 13:59:
Wan't dat is echt een probleem als iemand wat op nu.nl leest, op reddit hangt, of op instagram rondneust.

Moet je es in China proberen. Ik denk dat je daar wel blij bent als je kritische post met HTTPS over de lijn gaat. Hetzelfde voor je request om een kritisch artikel te lezen op nu.nl. En nee, de meeste Tweakers leven nu toevallig niet in China, maar dat doet niets af aan het principe. Als je het netwerk niet van voor tot achter kan vertrouwen (en dat kan op internet nooit) dan is end-to-end encryptie helemaal geen slecht idee.

markvt schreef op vrijdag 24 oktober 2014 @ 14:24:
Ik gebruik got/tnet al tijden via https met https everywhere https://www.eff.org/HTTPS-EVERYWHERE naar mijn mening valt de impact van https t.o.v. http reuze mee op de browse ervaring.

Naar mijn mening zijn we al een heel eind als bugreports voor HTTPS-everywhere gebruikers gewoon worden behandeld net als iedere andere bugreport.

Enige probleem wat ik heb ervaren is dat plaatjes in popups (als ik een plaatje aanklik dus) op het forum niet laden. En dat wanneer ik een HTTPS-link hier neerzet die niet automatisch wil converteren naar een titel, zoals:

https://gathering.tweakers.net/forum/list_messages/1601768

Het probleem met de popups is op te lossen door die popup-pagina ook beschikbaar te maken over HTTPS, het probleem met de link is op te lossen door https om te zetten naar http. Voor het hoofddomein tweakers.net doet de parser dat al. Het zijn an sich geen gigantische problemen die dagenlange hoofdbrekens zouden moeten veroorzaken, voor mijn gevoel tenminste. Misschien zit ik ernaast. En die mixed content meldingen, die neem ik wel voor lief.

Just curious, als er een statistiek van bestaat: hoeveel Tweakers gebruiken HTTPS-everywhere?

GateKeaper schreef op vrijdag 24 oktober 2014 @ 16:31:
Ik ben het volledig met je eens wanneer je zegt dat wij vrijheid en privacy nodig hebben. Maar SSL is in die zin geen oplossing om vrijheid en privacy te waarborgen.

Toch wel. SSL is gewoon digitaal briefgeheim. (maar dan in theorie onkraakbaar) Als ik een brief naar jou stuur, dan kan het postbedrijf (en dus ook de overheid, belastingdienst als ze dat willen, en de postbode, en iedere tussenliggende schakel) zien dat jij een brief krijgt. En als ik de afzender erop heb gezet, kunnen ze zien dat ie van mij afkomstig is. Maar ze zien niet wat erin staat.

En ze zien dat ik een envelop krijg met een afzender-postcode waar de Pabo is gehuisvest.. Maar welke folder daar inzit, dat weten ze niet. En als ik het bijgevoegde bestelformulier opstuur, zien ze ook niet wat ik heb besteld. Wel dàt ik iets opstuur, maar dat kan net zo goed een klachtenbrief zijn.

[Juup]

Hier nog een voorbeeld van een beveiligingsprobleem dat middels https opgelost zou kunnen worden:
nieuws: Beveiligingsonderzoeker vindt Tor exit node die malware in binaries stopt

Kort samengevat: als iemand via Tor of via WiFi een bestand op t.net downloadt, zou een man-in-the-middle de binary kunnen aanpassen.

[CyBeRSPiN]

Wordt toch wel tijd Tweakers HTTPS gaat ondersteunen, dacht aan dit topic toen ik dit las: http://www.nu.nl/internet...rbindingen-uitbannen.html

[_David_]

zie plan: Dilemma: moet Tweakers https inzetten? voor meer info, en als Mozilla graag nog meer marketshare wil verliezen moeten ze vooral een groot deel van het internet ontoegankelijk maken

[Kees]

_David_ schreef op vrijdag 01 mei 2015 @ 13:48:
zie plan: Dilemma: moet Tweakers https inzetten? voor meer info, en als Mozilla graag nog meer marketshare wil verliezen moeten ze vooral een groot deel van het internet ontoegankelijk maken

Het is niet alleen Mozarella die dit doet, ook Google; nieuws: Google gaat https-sites hoger zetten in zoekresultaten

Ik heb het sowieso wel raar gevonden dat mijn prima ge-encrypte verbinding die toevallig een ongeldig certificaat gebruikt (maar nog steeds encrypted is) wel een waarschuwing geeft maar een volledig onbeveiligde verbinding niet.

[Mentalist]

Kees schreef op woensdag 06 mei 2015 @ 09:56:
[...]

Het is niet alleen Mozarella die dit doet, ook Google; nieuws: Google gaat https-sites hoger zetten in zoekresultaten

Ik heb het sowieso wel raar gevonden dat mijn prima ge-encrypte verbinding die toevallig een ongeldig certificaat gebruikt (maar nog steeds encrypted is) wel een waarschuwing geeft maar een volledig onbeveiligde verbinding niet.

Dat is ook waar ik geen sikkepit van snap. Ik zou zelfs op een persoonlijke site altijd wel https aan willen zetten tegen luistervinkjes, maar gelazer met om het even welke certificate authoriteit of betalen? Dank je feestelijk.

Om deze reden is een .onion haast nog een beter alternatief. Dan heb je geen rare browserwaarschuwingen maar wèl encryptie. Helaas ook een uitermate beperkt publiek. (tenzij mozilla en google standaard tor gaan ondersteunen)

[NMe]

Kees schreef op woensdag 06 mei 2015 @ 09:56:
[...]

Ik heb het sowieso wel raar gevonden dat mijn prima ge-encrypte verbinding die toevallig een ongeldig certificaat gebruikt (maar nog steeds encrypted is) wel een waarschuwing geeft maar een volledig onbeveiligde verbinding niet.

Een onbeveiligde verbinding pretendeert niet veilig te zijn, een beveiligde verbinding met ongeldig certificaat wel. Ik zou niet graag willen zien wat er gebeurt in de scamwereld als die melding weg zou gaan voor SSL-verbindingen met ongeldig certificaat. En de omgekeerde situatie waarin die melding óók geeft voor totaal onbeveiligde sites is ook niet reëel op het huidige web...

[Juup]

W3ird_N3rd schreef op woensdag 06 mei 2015 @ 10:19:
... maar gelazer met om het even welke certificate authoriteit of betalen? Dank je feestelijk.

SSL Certificaten zijn gratis te verkrijgen, o.a. bij StartCom

[Mentalist]

NMe schreef op woensdag 06 mei 2015 @ 10:54:
[...]

Een onbeveiligde verbinding pretendeert niet veilig te zijn, een beveiligde verbinding met ongeldig certificaat wel. Ik zou niet graag willen zien wat er gebeurt in de scamwereld als die melding weg zou gaan voor SSL-verbindingen met ongeldig certificaat. En de omgekeerde situatie waarin die melding óók geeft voor totaal onbeveiligde sites is ook niet reëel op het huidige web...

Maar met een versleutelde verbinding zeg je wel "beveiligd tegen luistervinkjes" en "als je hier eerder bent geweest is een man-in-the-middle aanval niet mogelijk". Dat kan prima met een self-signed certificate. Ook met een .onion bereik je dat. (en die zijn in de toekomst allicht ook met reguliere browsers te bezoeken)

Dat is toch veel beter dan een geheel onversleutelde verbinding?

Juup schreef op woensdag 06 mei 2015 @ 11:35:
[...]

SSL Certificaten zijn gratis te verkrijgen, o.a. bij StartCom

Dat is dus weer gedoe, zo moet je je persoonlijke gegevens overleggen. Als ik een persoonlijke website/server opzet voor een paardenclub of de lokale kerk dan heb ik daar überhaupt geen zin in. En waar betalen ze die procedures van? Het lijkt een soort freemium model te zijn. It's an ingenious solution to a problem that should have never existed in the first place.

[NMe]

W3ird_N3rd schreef op woensdag 06 mei 2015 @ 11:50:
[...]

Maar met een versleutelde verbinding zeg je wel "beveiligd tegen luistervinkjes" en "als je hier eerder bent geweest is een man-in-the-middle aanval niet mogelijk". Dat kan prima met een self-signed certificate. Ook met een .onion bereik je dat. (en die zijn in de toekomst allicht ook met reguliere browsers te bezoeken)

Dat is toch veel beter dan een geheel onversleutelde verbinding?

Nee, want het betekent niks. Zoals ik al zei: is de nagebouwde bankomgeving van een scammer ineens veilig omdat hij SSL gebruikt? Self-signed certificaten zijn een risico en geven een vals gevoel van veiligheid. Leuk voor jezelf als je de webinterface van je NAS thuis wil beveiligen (en daar werkt het ook zoals je bedoelt) maar zodra je dat zonder melding mogelijk gaat maken voor publieke websites geef je scammers een van de laatste tools die ze nodig hebben om de illusie dat het écht de bank is compleet te maken...

[Mentalist]

NMe schreef op woensdag 06 mei 2015 @ 12:10:
[...]

Nee, want het betekent niks. Zoals ik al zei: is de nagebouwde bankomgeving van een scammer ineens veilig omdat hij SSL gebruikt? Self-signed certificaten zijn een risico en geven een vals gevoel van veiligheid. Leuk voor jezelf als je de webinterface van je NAS thuis wil beveiligen (en daar werkt het ook zoals je bedoelt) maar zodra je dat zonder melding mogelijk gaat maken voor publieke websites geef je scammers een van de laatste tools die ze nodig hebben om de illusie dat het écht de bank is compleet te maken...

Helemaal niet. Diezelfde scammers gebruiken nu gewoon een onbeveiligde verbinding.

Ik zeg niet dat je certificaten geheel overboord moet gooien. Een bank of andere grote partij kan best een certificaat gebruiken. Het zou alleen geen vereiste moeten zijn om versleuteling te gebruiken.

Bij gebruik van een self-signed certificate op een domein wat je browser niet eerder heeft bezocht zou je bijvoorbeeld gewoon een witte adresbalk moeten krijgen. Al dan niet met een slotje of ander icoon. Op de site van je bank krijg je een groene adresbalk met slotje.

Je zou geen waarschuwing moeten krijgen omdat een site versleuteling gebruikt, dat slaat nergens op. Een certificaat/identiteitscontrole staat los van versleuteling. Versleuteling gebruik je om te voorkomen dat een derde partij (ISP, open WiFi AP, proxy, etc) wachtwoorden, bank- en creditcardgegevens kan onderscheppen. Certificaten gebruik je om te verifiëren dat een partij is wie ze zeggen te zijn. Een self-signed certificaat laat je daarbij niet meer weten dan "is dezelfde partij die je eerder hebt bezocht", een echt certificaat zal dan ook betekenen "heeft zijn/haar identiteit ergens bekendgemaakt".

Een waarschuwing zou je alleen moeten krijgen als een site een ongeldig certificaat laat zien of een certificaat dat afwijkt van het certificaat wat je eerder van diezelfde site hebt gekregen.

Aangezien we nu iedereen al "let op het slotje" aan hebben lopen leren is er waarschijnlijk behalve een witte adresbalk ook een ander icoon nodig voor versleuteling.

[ Voor 4% gewijzigd door Mentalist op 06-05-2015 13:08 ]

[Juup]

W3ird_N3rd schreef op woensdag 06 mei 2015 @ 11:50:
Dat is dus weer gedoe, zo moet je je persoonlijke gegevens overleggen. Als ik een persoonlijke website/server opzet voor een paardenclub of de lokale kerk dan heb ik daar überhaupt geen zin in. En waar betalen ze die procedures van? Het lijkt een soort freemium model te zijn. It's an ingenious solution to a problem that should have never existed in the first place.

Dan doe je het niet.
Ben je nu lukraak aan het discussiëren om te discussiëren of probeer je nog naar een bepaald punt toe te werken?

[Mentalist]

Juup schreef op woensdag 06 mei 2015 @ 13:25:
[...]

Dan doe je het niet.
Ben je nu lukraak aan het discussiëren om te discussiëren of probeer je nog naar een bepaald punt toe te werken?

Het doel van Mozilla/Google is om onversleutelde websites geheel uit te faseren. Gevolg is dan (als je zoals nu certificaten blijft vereisen) dat eenieder die niet bereid is om een certificaat te bemachtigen/persoonsgegevens af te geven ook geen website meer mag hebben.

Als je punt is dat dat een toekomst is waar we naartoe moeten dan valt daar verder natuurlijk niets tegenin te brengen.

[ Voor 3% gewijzigd door Mentalist op 06-05-2015 13:29 ]

[Verwijderd]

Tegenwoordig kun je met diensten zoals cloudflare gratis https krijgen, dan kan tweakers als een vooraanstaande techsite nota bena natuurlijk niet achterblijven. Het is 2015.

Over performance gesproken, hoe lossen andere sites (met veel verkeer en user content) zoals facebook of reddit dat op?

[rob_erwt]

Verwijderd schreef op donderdag 25 juni 2015 @ 22:38:
Over performance gesproken, hoe lossen andere sites (met veel verkeer en user content) zoals facebook of reddit dat op?

Die hosten alle content van derden/gebruikers (plaatjes e.d.) zelf waarschijnlijk, iets dat wij niet willen.

[Mentalist]

rob_erwt schreef op vrijdag 26 juni 2015 @ 08:47:
[...]

Die hosten alle content van derden/gebruikers (plaatjes e.d.) zelf waarschijnlijk, iets dat wij niet willen.

Op gathering.tweakers.net niet nee, maar op de frontpage kan dat volgens mij wel? (of gaat het dan nog mis met advertenties?)

Krijg je eigenlijk ook mixed-content errors als je 3rd party content in een iframe zou serveren? Tamelijk smerig natuurlijk, maar misschien is daar anders een optie van te maken op gathering.

[rob_erwt]

W3ird_N3rd schreef op vrijdag 26 juni 2015 @ 09:56:
[...]

Op gathering.tweakers.net niet nee, maar op de frontpage kan dat volgens mij wel? (of gaat het dan nog mis met advertenties?)

Krijg je eigenlijk ook mixed-content errors als je 3rd party content in een iframe zou serveren? Tamelijk smerig natuurlijk, maar misschien is daar anders een optie van te maken op gathering.

Op de frontpage zit je in ieder geval ook met de productreviews. En ik weet idd ook niet zeker of ons advertentienetwerk er klaar voor zou zijn.

Iframe weet ik zo niet eerlijk gezegd, zo goed heb ik me er niet in verdiept. Wellicht dat kees of een andere devver dat wel heeft gedaan.

[Mentalist]

rob_erwt schreef op vrijdag 26 juni 2015 @ 10:21:
[...]

Op de frontpage zit je in ieder geval ook met de productreviews.

Ik denk dat het voor productreviews nog wel te doen moet zijn om de plaatjes zelf te hosten. Gebruikers maken daar echt waardevolle content voor Tweakers (maken o.a. de PW aantrekkelijker) dus dat lijkt me niet zo gek.

Dan zit je alleen nog eventueel met video-embeds (ik dacht dat die ook konden in productreviews, maar ik weet het niet zeker) maar dat is geloof ik ook wel werkende te krijgen. YT kan afaik HTTPS, andere videosites zie ik hier nooit in een embed.

[Alex)]

W3ird_N3rd schreef op vrijdag 26 juni 2015 @ 09:56:
[...]

Krijg je eigenlijk ook mixed-content errors als je 3rd party content in een iframe zou serveren? Tamelijk smerig natuurlijk, maar misschien is daar anders een optie van te maken op gathering.

Ja, ook dan krijg je die mixed content-waarschuwing.

[DR!5EQ]

Ik heb dit topic doorgelezen en ik snap eerlijk gezegd niet waarom een site als tweakers middels SSL bereikbaar zou moeten zijn. Ongeacht of je nou via http of via https gegevens verstuurd, tweakers heeft als het goed is geen gevoelige, privacy gerelateerde informatie over mij (naast mijn e-mail adres).

Dus ik ben ook wel benieuwd waarom tweakers via SSL te benaderen moet zijn...

[Mentalist]

14ml337 schreef op vrijdag 26 juni 2015 @ 10:56:
Dus ik ben ook wel benieuwd waarom tweakers via SSL te benaderen moet zijn...

In de krant staat ook geen privacygevoelige informatie. Maar zou je het leuk vinden als het publiek bekend zou worden welke artikelen jij precies leest en hoe snel je afhaakt?

In het Nederland van 2015 heb je daar dan nog niet direct problemen mee, maar er zijn genoeg landen waar je dan met recht para mag worden. En wie weet hoe het Nederland van 2025 eruit ziet? Het is simpel: wie het niets aangaat hoeft het ook niet te weten. We redeneren nu meestal omgekeerd: als je het niet hoeft te verbergen, maak het dan maar publiek.

Voor een aanzienlijk deel zijn veiligheid en privacy op veel websites (inclusief Tweakers) afhankelijk van vertrouwen. Vertrouwen is goed, TLS is beter.

[crisp]

W3ird_N3rd schreef op vrijdag 26 juni 2015 @ 11:55:
[...]

In de krant staat ook geen privacygevoelige informatie. Maar zou je het leuk vinden als het publiek bekend zou worden welke artikelen jij precies leest en hoe snel je afhaakt?

In het Nederland van 2015 heb je daar dan nog niet direct problemen mee, maar er zijn genoeg landen waar je dan met recht para mag worden. En wie weet hoe het Nederland van 2025 eruit ziet? Het is simpel: wie het niets aangaat hoeft het ook niet te weten. We redeneren nu meestal omgekeerd: als je het niet hoeft te verbergen, maak het dan maar publiek.

Voor een aanzienlijk deel zijn veiligheid en privacy op veel websites (inclusief Tweakers) afhankelijk van vertrouwen. Vertrouwen is goed, TLS is beter.

Maar dan ga je er eigenlijk al vanuit *dat* je gevolgd wordt, en ja dat wordt je ook: door adverteerders, facebook, google en weet ik wat niet, maar daar veranderd HTTPS dan weer niets aan

En dan heb ik het nog niet over 'publiek bekend'. Als je al stiekem gevolgd wordt dan zal de volger er wel voor zorgen dat dat juist niet publiek bekend wordt

[Mentalist]

crisp schreef op vrijdag 26 juni 2015 @ 12:50:
[...]

Maar dan ga je er eigenlijk al vanuit *dat* je gevolgd wordt, en ja dat wordt je ook: door adverteerders, facebook, google en weet ik wat niet, maar daar veranderd HTTPS dan weer niets aan

Maar dat zijn partijen die Tweakers heeft uitgekozen. Door Tweakers te bezoeken kies je ook voor die partijen.

Maar $randomopenwifispot (en je kan malafide hotspot apparatuur kopen die met opzet zoveel mogelijk data van gebruikers zal proberen te verzamelen) of AMS-IX is niet iets waar je echt voor gekozen hebt.

Krijg je hier ècht problemen mee? Waarschijnlijk niet. Is HTTPS vanuit security- en privacy-oogpunt beter? Dat wel.

En dan heb ik het nog niet over 'publiek bekend'. Als je al stiekem gevolgd wordt dan zal de volger er wel voor zorgen dat dat juist niet publiek bekend wordt

Dat bedoelde ik meer in de zin van "je weet niet wie er meekijkt". Misschien heb je geen problemen met een adverteerder, maar wel met je buurman. Of misschien heb je geen problemen met je buurman, maar wel met de staat. Of geen problemen met de staat, maar wel met je ISP. Als je bijvoorbeeld informatie zoekt over het draaien van een eigen server of TV-kijken zonder decoder, iets wat je misschien van je ISP niet mag.

Kortom, je weet niet of je iets te verbergen hebt en ook niet voor wie. HTTPS is als je hand boven de pinautomaat houden wanneer je je pincode intoetst. Gaat de verkoper of klant achter je misbruik maken van jouw pincode? Ik betwijfel het. Zal je hand je beschermen tegen eenieder die kwade bedoelingen heeft met jouw pincode? Nee, ook niet. Maar het helpt wel.

De afweging is dan natuurlijk: hoe nuttig is HTTPS en hoeveel moeite kost het. Ik vind het raar om te ontkennen dat HTTPS nut heeft. Het heeft imho altijd nut. Maar hoeveel nut, dat kan sterk wisselen. Het is voor DM's nuttiger dan voor gathering. En hoeveel moeite het kost, dat is duidelijk: vrij veel. Ik begrijp de afweging en uitkomst dan ook best, maar ben het niet eens met mensen die menen dat HTTPS voor een site als Tweakers nutteloos is.

Wat ik al eerder zei: zolang HTTPS-everywhere goed werkt is het wmb prima, als gebruiker heb je dan een keuze. Die mixed-content waarschuwingen zullen me aan m'n reet roesten.

[ Voor 5% gewijzigd door Mentalist op 26-06-2015 13:25 ]

[incaz]

Er was laatst iemand waarvan de werkgever de werknemer aansprak over zaken die op Tweakers werden gezet. Het was een beetje een vaag verhaal, maar het is niet helemaal onaannemelijk. Hoewel er best wat voor te zeggen valt dat je dan niet via je werk moet tweaken, kan het ook best te verdedigen zijn dat je url en andere herleidbare zaken voor je werkgever verbergt, zodat je baas wel weet (en wellicht ook instemt) met je bezoek op tweakers als dat relevant is, maar niet je gebruikersnaam kan traceren of kan zien dat je meeleest in een topic over arbeidsvoorwaarden ofzo, zelfs niet als je bv per ongeluk met je mobiel op de bedrijfswifi zit en in je pauze even kijkt.

Daarvoor kan https een prima middel zijn.

[DR!5EQ]

W3ird_N3rd schreef op vrijdag 26 juni 2015 @ 11:55:
[...]

In de krant staat ook geen privacygevoelige informatie. Maar zou je het leuk vinden als het publiek bekend zou worden welke artikelen jij precies leest en hoe snel je afhaakt?

In het Nederland van 2015 heb je daar dan nog niet direct problemen mee, maar er zijn genoeg landen waar je dan met recht para mag worden. En wie weet hoe het Nederland van 2025 eruit ziet? Het is simpel: wie het niets aangaat hoeft het ook niet te weten. We redeneren nu meestal omgekeerd: als je het niet hoeft te verbergen, maak het dan maar publiek.

Voor een aanzienlijk deel zijn veiligheid en privacy op veel websites (inclusief Tweakers) afhankelijk van vertrouwen. Vertrouwen is goed, TLS is beter.

SSL helpt je niet als het gaat om privacy waar je naar toe browsed. Het helpt je bij het versleutelen van informatie die op de pagina evt. zichtbaar is. zoals mijn bsn als ik inlog op mijn overheid bijv.

[Alex)]

14ml337 schreef op vrijdag 26 juni 2015 @ 14:43:
[...]

SSL helpt je niet als het gaat om privacy waar je naar toe browsed.

Jawel, ook de URL wordt versleuteld. Echter:

1) DNS-lookups gaan via de gewone weg en dat blijft zo, via de DNS-serverlog kan dus worden opgevraagd dat jouw pc heeft gevraagd welk IP bij 'tweakers.net' hoort
2) Als SNI wordt gebruikt, wordt de hostname onversleuteld meegestuurd in het SSL-pakket

[Mentalist]

incaz schreef op vrijdag 26 juni 2015 @ 14:04:
Er was laatst iemand waarvan de werkgever de werknemer aansprak over zaken die op Tweakers werden gezet. Het was een beetje een vaag verhaal, maar het is niet helemaal onaannemelijk. Hoewel er best wat voor te zeggen valt dat je dan niet via je werk moet tweaken, kan het ook best te verdedigen zijn dat je url en andere herleidbare zaken voor je werkgever verbergt, zodat je baas wel weet (en wellicht ook instemt) met je bezoek op tweakers als dat relevant is, maar niet je gebruikersnaam kan traceren of kan zien dat je meeleest in een topic over arbeidsvoorwaarden ofzo, zelfs niet als je bv per ongeluk met je mobiel op de bedrijfswifi zit en in je pauze even kijkt.

Daarvoor kan https een prima middel zijn.

Heel goed punt. Ook een kritische reactie plaatsen over je werkgever kan riskant zijn. Of een positieve shopreview voor de concurrent.

Overigens is het volgens mij vanuit technisch oogpunt praktisch niet te doen om alleen herleidbare zaken of gebruikersnamen over HTTPS te doen. AFAIK gaat bij iedere request een koekje mee met je sessie en zitten er nog een aantal dingen in de pagina zelf waar je de gebruikersnaam uit kan halen. Bovendien kan de werkgever aan je MAC-adres zien dat jij het was. De enige oplossing is dan HTTPS overal toe te passen, of tenminste voor de HTML. Dat plaatjes onversleuteld over de lijn gaan is minder erg, het is lastiger om daar iets uit te herleiden. Met HTTPS-everywhere kan je dat nu al bereiken, alleen krijg je dan mixed-content waarschuwingen. (die mij persoonlijk niet boeien en imho slecht gekozen door de browsermakers)

Alex) schreef op vrijdag 26 juni 2015 @ 14:49:
[...]
Jawel, ook de URL wordt versleuteld. Echter:

1) DNS-lookups gaan via de gewone weg en dat blijft zo, via de DNS-serverlog kan dus worden opgevraagd dat jouw pc heeft gevraagd welk IP bij 'tweakers.net' hoort
2) Als SNI wordt gebruikt, wordt de hostname onversleuteld meegestuurd in het SSL-pakket

Maar daaruit kan je dan nog niet herleiden of iemand een topic over lolcats, C++ of arbeidsvoorwaarden leest.

[ Voor 4% gewijzigd door Mentalist op 26-06-2015 15:29 ]

[DR!5EQ]

Alex) schreef op vrijdag 26 juni 2015 @ 14:49:
[...]
Jawel, ook de URL wordt versleuteld. Echter:

1) DNS-lookups gaan via de gewone weg en dat blijft zo, via de DNS-serverlog kan dus worden opgevraagd dat jouw pc heeft gevraagd welk IP bij 'tweakers.net' hoort
2) Als SNI wordt gebruikt, wordt de hostname onversleuteld meegestuurd in het SSL-pakket

Asjemenou! Ik ben met stomheid geslagen. Hoe werkt dat?

zie je dan alleen nog https://www.tweakers.net en voor de rest niks?

[ Voor 7% gewijzigd door DR!5EQ op 26-06-2015 18:40 . Reden: lichtelijk aanvulling. was wat summier. ]

[Juup]

Wat https ook tegenhoudt is een MITM attack (bv op WiFi hotspot) waarbij een file download wordt gemanipuleerd zodat er een virus/trojan/malware wordt geinjecteerd.

[Osiris]

14ml337 schreef op vrijdag 26 juni 2015 @ 18:39:
[...]

Asjemenou! Ik ben met stomheid geslagen. Hoe werkt dat?

zie je dan alleen nog https://www.tweakers.net en voor de rest niks?

"Zie je dan".. Da's natuurlijk niet echt heel technisch hè

Lees je eens in hoe HTTP(S) überhaupt werkt en je snapt waarom de URL grotendeels versleuteld wordt.

[Alex)]

14ml337 schreef op vrijdag 26 juni 2015 @ 18:39:
[...]

Asjemenou! Ik ben met stomheid geslagen. Hoe werkt dat?

zie je dan alleen nog https://www.tweakers.net en voor de rest niks?

Dat hangt van de serverconfiguratie af, met "standaard-SSL" zie je zelfs de hostname niet meer terug in de logboeken of in onderschepte pakketjes. Het enige dat te zien is, is dat er via TCP wordt gecommuniceerd met een bepaald IP-adres, de inhoud van de communicatie is geheel versleuteld.

Er is een nadeel aan "standaard-SSL": het is niet mogelijk om meerdere SSL-versleutelde websites op hetzelfde IP-adres te hosten. Hiervoor zou een extra HTTP-header (Host:) nodig zijn, maar die kan niet worden meeversleuteld omdat de webserver dan niet meer het juiste certificaat kan kiezen. Daarom is er bij het ontwerp van SSL gekozen om enkel op IP-adres te communiceren, zodat certificaatselectie niet nodig is.

Een paar jaar geleden is er een uitbreiding gekomen op het SSL-protocol, SNI genaamd (Server Name Indication), de eerdergenoemde Host-header wordt hiermee alsnog toegevoegd aan het SSL-verkeer. De Host-header gaat onversleuteld over de lijn, zodat de webserver het juiste certificaat kan selecteren wanneer er een SSL-pakketje binnenkomt. De rest van het verkeer is en blijft versleuteld, dat geldt dus ook voor de HTTP-method (GET, POST, ...) en de URL waarop de actie wordt uitgevoerd.

[Compizfox]

Ik moet toegeven dat ik niet het hele topic heb doorgelezen, maar wanneer gaat Tweakers eens werken aan HTTPS-support?

Aangezien ik de browserextensie HTTPS Everywhere gebruik, zit ik al via HTTPS op Tweakers. Echter, ik heb met een paar dingen nog problemen.

• Elke keer dat ik een post verstuur, krijg ik van Firefox de melding dat het form gePOST wordt over een legacy, unencrypted verbinding. Dit is nogal irritant.
• Als je een link naar een forumtopic of Pricewatch-product in een post plakt, dan converteert de forumsoftware dit automatisch naar een mooie titel. Dit werkt echter niet als je een HTTPS-link gebruikt.

Verder werkt HTTPS prima op Tweakers, alleen bovenstaande problemen moet even opgelost worden. Ik snap niet dat hier niet meer vaart achter zit, een site als Tweakers zou toch wel site-wide HTTPS moeten hebben.

[_David_]

Compizfox schreef op zaterdag 04 juli 2015 @ 16:41:
Ik moet toegeven dat ik niet het hele topic heb doorgelezen, maar wanneer gaat Tweakers eens werken aan HTTPS-support?

Als je het topic had gelezen dan had je een antwoord op die vraag.

[Mentalist]

_David_ schreef op zaterdag 04 juli 2015 @ 16:58:
[...]

Als je het topic had gelezen dan had je een antwoord op die vraag.

Nou, niet helemaal. Wat Compizfox noemt zijn issues die optreden bij gebruik van HTTPS Everywhere. Dat Tweakers niet standaard op HTTPS overgaat kan ik ook best begrijpen ivm advertentienetwerken en third-party embedded content, maar gebruikers van HTTPS Everywhere zijn gewend aan het gezeur van de browser over mixed content.

Het zou Tweakers absoluut sieren als ze de paar bugs die nog optreden bij gebruik van HTTPS Everywhere zouden proberen op te lossen en via die weg de gebruiker de keuze geven om HTTPS te gebruiken. De RML-parser geschikt maken voor HTTPS is sowieso geen slecht idee met het oog op wat mogelijk komt in de toekomst. Wat betreft het posten:

HTML:

<form action="http://gathering.tweakers.net/forum/insert_message/1601768" method="post" id="message_form" class="form2 altmsg1 insertMessage" onsubmit="return this.preview||checknewmessageform(this)">

Ik zou eigenlijk niet weten waarom deze action een absolute link gebruikt?

[Alex)]

Je zou er vooralsnog omheen kunnen werken met een userscriptje dat het deel "http://" vervangt door "//", maar ideaal is dat natuurlijk niet.

[NMe]

Die absolute link is het probleem helemaal niet, je kan ook prima absolute urls gebruiken zonder protocol, zoals Alex) hierboven al zegt.

Maar stel Tweakers gaat inderdaad de hele codebase nalopen op elk gebruik van harde links over HTTP. Dat kost heel wat werk en dus tijd en geld, en uiteindelijk zijn de enige mensen die je daarmee helpt het handjevol mensen dat per se via HTTPS wil browsen middels een addon terwijl er eigenlijk helemaal geen belangrijke data over de lijn gaat. Inloggen gaat al middels HTTPS en 99% van het andere spul is allemaal publiek of semi-publiek.

[Compizfox]

NMe schreef op zaterdag 04 juli 2015 @ 18:22:
Dat kost heel wat werk en dus tijd en geld, en uiteindelijk zijn de enige mensen die je daarmee helpt het handjevol mensen dat per se via HTTPS wil browsen middels een addon terwijl er eigenlijk helemaal geen belangrijke data over de lijn gaat. Inloggen gaat al middels HTTPS en 99% van het andere spul is allemaal publiek of semi-publiek.

Het maakt niet uit dat er geen "belangrijke data over de lijn gaat". Je moet als streven hebben om het hele internet te encrypten, klaar. Aan half werk heb je niets.

https://www.eff.org/encrypt-the-web

Als je overal HTTPS gebruikt, dan...

• kan er niets worden afgeluisterd (door de overheid, of wie dan ook)
• weet je zeker dat je echt met Tweakers.net verbonden bent en dat er geen MitM tussen zit
• kunnen malware of malicious WiFi-hotspots geen shit injecteren in je verbinding

Had ik al verteld dat Google sites die geen HTTPS gebruiken tegenwoordig straft? Waarom? Nou, HTTP must die.

Site-wide HTTPS met een HSTS-header is trouwens ook de enige maatregel die helpt tegen SSL stripping attacks.

Ik had niet verwacht dat ik dit hier op Tweakers nog moest uitleggen. Hier zouden jullie juist vooruitstrevend in moeten zijn, in plaats van terughoudend.

[ Voor 29% gewijzigd door Compizfox op 04-07-2015 19:18 ]

[NMe]

Ik zeg nergens dat Tweakers niet over SSL moet gaan. Ik zeg dat die laffe tussenoplossing om HTTPS Everywhere aan de praat te krijgen waardeloos is omdat je er stapels tijd mee verspilt en bijna niemand mee helpt.

Ik had niet verwacht dat ik dat uit zou moeten spellen na mijn vorige post. Je zou juist vooruitstrevend moeten zijn in je begrip in plaats van terughoudend.

Gepiqueerd reageren kan ik ook.

[Mentalist]

NMe schreef op zaterdag 04 juli 2015 @ 18:22:
Die absolute link is het probleem helemaal niet

Wellus.

, je kan ook prima absolute urls gebruiken zonder protocol, zoals Alex) hierboven al zegt.

Kan ook, maar naar mijn idee blijft het ranzig. Wat nu als men in de toekomst GoT liever via got.tweakers.net laat lopen? Of Tweakers krijgt een nieuwe naam en daarmee een nieuw domein? Of tweakers.nl?

Er zal (hopelijk) wel een reden zijn om een absolute URL te gebruiken hier, maar in het algemeen is het niet echt netjes om een absolute URL te gebruiken voor een link op dezelfde host.

Maar stel Tweakers gaat inderdaad de hele codebase nalopen op elk gebruik van harde links over HTTP. Dat kost heel wat werk en dus tijd en geld,

Larie. Tweakers hoeft alleen maar te wachten op bugreports en die dan af te handelen. De community kan dus aanleveren waar het mis gaat (het kostbare zoekwerk) en de uiteindelijke aanpassingen in de code is ook geen uren werk.

Maar op dit moment doet men afaik niets met bugs die zich alleen met HTTPS voordoen. Ik zou meer dan tevreden zijn met "best effort" wat dit betreft.

en uiteindelijk zijn de enige mensen die je daarmee helpt het handjevol mensen dat per se via HTTPS wil browsen

In absolute aantallen zijn het er misschien niet vreselijk veel, maar getuige dit topic bestaat de behoefte wel. Het is niet uitzonderlijk moeilijk en het gaat niet ten koste van HTTP-gebruikers.

middels een addon

Een zeer populaire add-on van EFF, dat wel.

Ik gok dat Tweakers ook support heeft voor de CookiesOK add-on. Die is van een onbekende developer waarvan we de betrouwbaarheid niet vast kunnen stellen. Daarmee bedien je toch ook maar een handjevol gebruikers dat niet op "accepteer" wil klikken?

terwijl er eigenlijk helemaal geen belangrijke data over de lijn gaat. Inloggen gaat al middels HTTPS en 99% van het andere spul is allemaal publiek of semi-publiek.

99%? DM's, mail via V&A, crewfora en als je het netwerk van je werkgever gebruikt kan die zien welke topics je opzoekt. Iets wat je mogelijk liever niet met je baas zou delen.

Dat je het "ik heb niets te verbergen" argument voor jezelf gebruikt is prima, maar waarom is het een probleem als Tweakers de keuze hebben? En is HTTPS Everywhere een halve oplossing? Misschien, maar ik denk dat het veel meer werk is voor de devvers om HTTPS als officiële optie aan te bieden. Terwijl het op dit moment al voor 99% werkt als je mixed-content geneuzel negeert. Iets waar HTTPS Everywhere gebruikers over het algemeen minder problemen mee zullen hebben.

Absolute interne links zijn voor mij sowieso een teken van slordigheid, iets wat later problemen op kan gaan leveren. Ook zonder HTTPS. Bugreports voor absolute links afhandelen zie ik niet als tijdverspilling. Ik zeg niet dat de devvers er actief naar moeten gaan zoeken.

[ Voor 13% gewijzigd door Mentalist op 04-07-2015 19:55 ]

[NMe]

W3ird_N3rd schreef op zaterdag 04 juli 2015 @ 19:41:
Kan ook, maar naar mijn idee blijft het ranzig. Wat nu als men in de toekomst GoT liever via got.tweakers.net laat lopen? Of Tweakers krijgt een nieuwe naam en daarmee een nieuw domein? Of tweakers.nl?

Er zal (hopelijk) wel een reden zijn om een absolute URL te gebruiken hier, maar in het algemeen is het niet echt netjes om een absolute URL te gebruiken voor een link op dezelfde host.

Dat er een absolute URL wordt afgedrukt hoeft niet te betekenen dat hij ook hard zo in de code staat. Dat zou best wel eens configureerbaar kunnen zijn of uit het framework gehaald kunnen worden. Als dat niet het geval is, dan is het inderdaad niet zo netjes. Maar tegelijkertijd niet relevant hier.

Larie. Tweakers hoeft alleen maar te wachten op bugreports en die dan af te handelen. De community kan dus aanleveren waar het mis gaat (het kostbare zoekwerk) en de uiteindelijke aanpassingen in de code is ook geen uren werk.

Dat levert alleen maar meer werk op omdat je steeds reactief stukjes code moet gaan opzoeken en aanpassen, in plaats van dat je het in één moeite door doet.

In absolute aantallen zijn het er misschien niet vreselijk veel, maar getuige dit topic bestaat de behoefte wel. Het is niet uitzonderlijk moeilijk en het gaat niet ten koste van HTTP-gebruikers.

Ik zeg niet dat er geen vraag is naar SSL, ik zeg dat je in absolute aantallen bijna niemand helpt door veel tijd te gaan steken in een tussenoplossing als HTTPS Everywhere. Dat Tweakers er ooit een keer aan moet geloven om op HTTPS over te stappen zijn we vast allemaal wel met elkaar eens. Die tussenoplossing om 100% HTTPS Everywhere-compatible te zijn is echter gewoon tijdverspilling, IMO.

Ik gok dat Tweakers ook support heeft voor de CookiesOK add-on. Die is van een onbekende developer waarvan we de betrouwbaarheid niet vast kunnen stellen. Daarmee bedien je toch ook maar een handjevol gebruikers dat niet op "accepteer" wil klikken?

Het verschil is dat support daarvoor geen enkel stukje legacy code raakt en gewoon op één plek zit, en niet verspreid over de hele codebase. Totaal niet vergelijkbaar...

99%? DM's, mail via V&A, crewfora en als je het netwerk van je werkgever gebruikt kan die zien welke topics je opzoekt. Iets wat je mogelijk liever niet met je baas zou delen.

Als je baas niet mag zien wat je op Tweakers doet dan is het per definitie niet werkgerelateerd en zou je het niet op je werk moeten doen. Verder heb ik geen cijfers maar ik weet vrij zeker dat de publieke delen van de site veel meer hits krijgen dan de afgeschermde delen.

Dat je het "ik heb niets te verbergen" argument voor jezelf gebruikt is prima, maar waarom is het een probleem als Tweakers de keuze hebben?

Ik gebruik niet dat argument. Ik zeg dat er dermate weinig gebruikers zijn die zo op hun privacy gesteld zijn dat ze die addon gebruiken dat het weinig zin heeft om extra tijd te steken in een tussenoplossing.

Absolute interne links zijn voor mij sowieso een teken van slordigheid, iets wat later problemen op kan gaan leveren. Ook zonder HTTPS. Bugreports voor absolute links afhandelen zie ik niet als tijdverspilling. Ik zeg niet dat de devvers er actief naar moeten gaan zoeken.

Nogmaals, absolute links zijn geen bugs.

[crisp]

W3ird_N3rd schreef op zaterdag 04 juli 2015 @ 19:41:

[...]

Kan ook, maar naar mijn idee blijft het ranzig. Wat nu als men in de toekomst GoT liever via got.tweakers.net laat lopen? Of Tweakers krijgt een nieuwe naam en daarmee een nieuw domein? Of tweakers.nl?

Dan passen we onze config aan en klaar Het zorgen voor redirects is dan nog wel het meeste werk, en eigenlijk ook een goede reden om een dergelijke operatie niet te doen.

Er zal (hopelijk) wel een reden zijn om een absolute URL te gebruiken hier, maar in het algemeen is het niet echt netjes om een absolute URL te gebruiken voor een link op dezelfde host.

De belangrijkste reden is dat content niet beperkt is tot publicatie via onze website. Denk aan RSS, API's, widgets e.d. waarvoor het heel onpraktisch is om relatieve url's te gebruiken.

[...]

Larie. Tweakers hoeft alleen maar te wachten op bugreports en die dan af te handelen. De community kan dus aanleveren waar het mis gaat (het kostbare zoekwerk) en de uiteindelijke aanpassingen in de code is ook geen uren werk.

Tien jaar geleden konden we daar bij onze bezoekers wel mee wegkomen, maar we zijn ondertussen meer dan alleen een tech-site en een brakke site kunnen we ons niet permitteren.

Maar op dit moment doet men afaik niets met bugs die zich alleen met HTTPS voordoen. Ik zou meer dan tevreden zijn met "best effort" wat dit betreft.

We houden wel degelijk rekening met https bij alles wat we nu doen, en bugjes ism HTTPS Everywher proberen we ook op te lossen.Dat HE geen form actions rewrite is echter iets dat HE in eerste instantie zelf op zou kunnen lossen.

[...]

Ik gok dat Tweakers ook support heeft voor de CookiesOK add-on. Die is van een onbekende developer waarvan we de betrouwbaarheid niet vast kunnen stellen. Daarmee bedien je toch ook maar een handjevol gebruikers dat niet op "accepteer" wil klikken?

Daar bieden wij iig niet bewust support voor. Ik zou ook niet weten of het wel of niet werkt bij onze cookiewall...

[...]

99%? DM's, mail via V&A, crewfora en als je het netwerk van je werkgever gebruikt kan die zien welke topics je opzoekt. Iets wat je mogelijk liever niet met je baas zou delen.

DM zou m.i. inderdaad via HTTPS moeten gaan, daar is al een ticket voor om dat tzt op te pakken:)

[Compizfox]

NMe schreef op zaterdag 04 juli 2015 @ 19:25:
Ik zeg nergens dat Tweakers niet over SSL moet gaan. Ik zeg dat die laffe tussenoplossing om HTTPS Everywhere aan de praat te krijgen waardeloos is omdat je er stapels tijd mee verspilt en bijna niemand mee helpt.

Dat snap ik wel, ik reageerde alleen even op de drogreden "HTTPS is niet nodig want er gaan geen belangrijke data over de lijn". Was dus meer een reactie bedoeld aan Tweakers in het algemeen, niet specifiek naar jou.

Ik zeg niet dat er geen vraag is naar SSL, ik zeg dat je in absolute aantallen bijna niemand helpt door veel tijd te gaan steken in een tussenoplossing als HTTPS Everywhere. Dat Tweakers er ooit een keer aan moet geloven om op HTTPS over te stappen zijn we vast allemaal wel met elkaar eens. Die tussenoplossing om 100% HTTPS Everywhere-compatible te zijn is echter gewoon tijdverspilling, IMO.

Het punt is dat het oplossen van die bugs ook nodig is als Tweakers voor iedereen HTTPS aanzet. Met andere woorden: die bugs zijn niet specifiek voor HTTPS Everywhere, maar specifiek aan HTTPS in het algmeen. Sterker nog, ik zie niet wat het verder nog tegenhoudt; zoals ik al zei werkt de site verder prima over HTTPS, minus die bugs. Als die bugs opgelost zijn zijn de HTTPS Everywhere-gebruikers tevreden én ligt de weg open om een HSTS-header mee te sturen waardoor de hele site HTTPS-only wordt.

[ Voor 46% gewijzigd door Compizfox op 04-07-2015 20:29 ]

[Mentalist]

NMe schreef op zaterdag 04 juli 2015 @ 20:06:
[...]

Dat er een absolute URL wordt afgedrukt hoeft niet te betekenen dat hij ook hard zo in de code staat. Dat zou best wel eens configureerbaar kunnen zijn of uit het framework gehaald kunnen worden. Als dat niet het geval is, dan is het inderdaad niet zo netjes. Maar tegelijkertijd niet relevant hier.

Ook als het in de configuratie zit (daar dacht ik zelf ook al aan) kan ik me nog geen goede reden bedenken waarom dat zo moet in dit geval.

[...]

Als je baas niet mag zien wat je op Tweakers doet dan is het per definitie niet werkgerelateerd en zou je het niet op je werk moeten doen.

Wat als je het in de pauze doet?

En dat je liever niet hebt dat je baas het ziet wil niet per defintie zeggen dat het niet werkgerelateerd is. Misschien zei je baas "Ik wil géén X omdat Y!" en ga jij als werknemer dan tòch informatie over X opzoeken om te zien of X ook kan zonder Y om zo tot een betere oplossing te komen.

Maar zodra je baas spot dat jij naar X kijkt zwaait er misschien wel wat.

Verder heb ik geen cijfers maar ik weet vrij zeker dat de publieke delen van de site veel meer hits krijgen dan de afgeschermde delen.

Ik heb ook geen cijfers, maar bij ruige balsporten krijg je veel vaker een bal tegen je borst/benen/armen dan in je kruis of tegen je hoofd.

De reden dat je toch een beschermer voor je hoofd en je kruis gebruikt.. Juist omdat die plekken kwetsbaarder zijn. Aantal hits heeft er niets mee te maken.

Ik gebruik niet dat argument. Ik zeg dat er dermate weinig gebruikers zijn die zo op hun privacy gesteld zijn dat ze die addon gebruiken dat het weinig zin heeft om extra tijd te steken in een tussenoplossing.

Ik vraag me af hoeveel het er eigenlijk zijn. Maar degenen die het doen zijn denk ik gemiddeld wel users die hier ook veel doen/bijdragen.

Nogmaals, absolute links zijn geen bugs.

Nee, maar features zijn het ook niet.

crisp schreef op zaterdag 04 juli 2015 @ 20:08:
[...]

De belangrijkste reden is dat content niet beperkt is tot publicatie via onze website. Denk aan RSS, API's, widgets e.d. waarvoor het heel onpraktisch is om relatieve url's te gebruiken.

Valt me nu op dat er inderdaad overal absolute URLs staan.

Ik zou er eens in moeten duiken, maar ik blijf het vreemd vinden dat dit nodig is. Lijkt meer een issue met de programma's die niet met een relatieve URL om kunnen gaan?

[...]

We houden wel degelijk rekening met https bij alles wat we nu doen, en bugjes ism HTTPS Everywher proberen we ook op te lossen.

Wist ik niet. Dan zal ik dingen melden als ik ze tegenkom.

Dat HE geen form actions rewrite is echter iets dat HE in eerste instantie zelf op zou kunnen lossen.

Eens.

Gegeven trouwens dat dit in een configuratieoptie zit.. Die optie is nu dus fixed. Hoe ernstig zouden de risico's zijn als gebruikers in hun profiel/cookie via die configoptie voor HTTPS kunnen kiezen? Dan zou je alle URLs met het gewenste protocol krijgen. ja dan krijg je mixed content errors, maar so what. opt-in optie voor de echte Tweaker, net als b.v. devicedetect en limit. garantie tot de deur.

[...]

DM zou m.i. inderdaad via HTTPS moeten gaan, daar is al een ticket voor om dat tzt op te pakken:)

Zou heel mooi zijn.

[ Voor 7% gewijzigd door Mentalist op 04-07-2015 20:47 ]

[Compizfox]

Wat is vooral jammer vind, is dat dit soort dingen met zoveel moeite en discussie moeten gaan.

Het is wel duidelijk dat jullie HTTPS niet belangrijk vinden. Als er dan vanuit de community naar gevraagd wordt doen jullie veel moeite om het uitstellen van HTTPS te onderbouwen. Hetzelfde geldt trouwens voor IPv6.

Dit soort dingen zou een site als Tweakers juist uit zich zelf moeten doen, ik vind het eigenlijk een beetje belachelijk dat Tweakers zo achterloopt op gebieden waar het juist in voorop zou moeten lopen.

[Mentalist]

Compizfox schreef op zaterdag 04 juli 2015 @ 20:44:
Wat is vooral jammer vind, is dat dit soort dingen met zoveel moeite en discussie moeten gaan.

Het is wel duidelijk dat jullie HTTPS niet belangrijk vinden. Als er dan vanuit de community naar gevraagd wordt doen jullie veel moeite om het uitstellen van HTTPS te onderbouwen. Hetzelfde geldt trouwens voor IPv6.

Dit soort dingen zou een site als Tweakers juist uit zich zelf moeten doen, ik vind het eigenlijk een beetje belachelijk dat Tweakers zo achterloopt op gebieden waar het juist in voorop zou moeten lopen.

Dan moet je het hele topic even lezen, er zijn wel een aantal goede redenen. Onder meer dat men niet weet of advertentienetwerken ermee overweg kunnen en het feit dat gebruikers plaatjes van externe hosts kunnen posten.

Het feit dat browsers zo janken over mixed content terwijl ze geen enkel probleem hebben met http maakt de overstap minder aantrekkelijk. Daar kan t.net niks aan doen. Hetzelfde met browsers die janken over self-signed certificaten (https zonder certificaat mag niet), dat maakt het onaantrekkelijk voor een hobbysite. Maar http is prima.

[ Voor 8% gewijzigd door Mentalist op 04-07-2015 20:52 ]

[Compizfox]

W3ird_N3rd schreef op zaterdag 04 juli 2015 @ 20:50:
[...]

Dan moet je het hele topic even lezen, er zijn wel een aantal goede redenen. Onder meer dat men niet weet of advertentienetwerken ermee overweg kunnen en het feit dat gebruikers plaatjes van externe hosts kunnen posten.

Het feit dat browsers zo janken over mixed content terwijl ze geen enkel probleem hebben met http maakt de overstap minder aantrekkelijk. Daar kan t.net niks aan doen.

Hmmm, daar heb ik nooit last van gehad terwijl ik Tweakers wel bezoek via HTTPS. Is het toevallig Chrome in het bijzonder die daar moeilijk over doet? In Firefox krijg je alleen een waarschuwing in de adresbalk over mixed content, maar geen popup over iets dergelijks.

Hetzelfde met browsers die janken over self-signed certificaten (https zonder certificaat mag niet), dat maakt het onaantrekkelijk voor een hobbysite. Maar http is prima.

Tja, maar dat heeft wel een reden natuurlijk: met een self-signed certificaat valt de authenticiteit van de server niet vast te stellen.

Als je bij een site die wél HTTPS (met echt certificaat) gebruikt ineens een self-signed certificaat voorgeschoteld krijgt, dan weet je dat er iets mis is (waarschijnlijk een MitM-attack). Maar je hebt wel een punt: eigenlijk zouden browsers dan ook moeilijk moeten doen over HTTP.

Ik ben het dus wel met je eens dat browsers self-signed certificaten zouden moeten accepteren (met passieve waarschuwing in adresbalk, net als bij mixed content), tenzij er een HSTS-header is geset natuurlijk.

[ Voor 44% gewijzigd door Compizfox op 04-07-2015 21:32 ]

[Opperpanter2]

Viel mij vandaag ook op dat het forum na de login weer terugswitched naar http ipv https.

Loop je dan een risico op mitm/session hijacking?

Deze zal vast al genoemd zijn https://istlsfastyet.com/

Verbaast mij wel dat tweakers 2x zo traag wordt na het aanzetten van SSL.

Over het algemeen zie je een performance penalty van ongeveer 10%.

Alle web applicaties waar ik aan meegewerkt heb is deze overhead niet merkbaar.

[Fuzzillogic]

Sinds recent heb ik ook HTTPS Everywhere draaien. En dan valt het inderdaad op dat tweakers het gewoon niet goed voor elkaar heeft. Ja, en ik zie alle redenen daarvoor langskomen, maar géén daarvan vind ik overtuigend om het niet te doen. Voor mij zou het ook gewoon beroepseer zijn om het voor elkaar te krijgen. Tweakers krijgt van mij daarvoor puntenaftrek van hun Nerd Score. Just my €0.02.

[NMe]

Wat probeer je precies met die post te bereiken? Je noemt geen nieuwe argumenten, je rant alleen een keer omdat je de tegenargumenten niet valide vindt. Dat mag je vinden, maar dat verandert niks aan het feit dat de mensen die erover gaan die mening niet met je delen...

[Mentalist]

Fuzzillogic schreef op woensdag 07 oktober 2015 @ 22:56:
Sinds recent heb ik ook HTTPS Everywhere draaien. En dan valt het inderdaad op dat tweakers het gewoon niet goed voor elkaar heeft. Ja, en ik zie alle redenen daarvoor langskomen, maar géén daarvan vind ik overtuigend om het niet te doen. Voor mij zou het ook gewoon beroepseer zijn om het voor elkaar te krijgen. Tweakers krijgt van mij daarvoor puntenaftrek van hun Nerd Score. Just my €0.02.

[afbeelding]

Voor specifiek die melding moet H-E de URL van een form rewriten.. Al zou het aardig zijn als je de baseURL van t.net zelf aan kan passen zou dit ook in H-E aangepast moeten worden.

De meldingen door mixed content zijn niet te voorkomen, dat is gewoon fout gedrag van browsers.

[Fuzzillogic]

NMe schreef op woensdag 07 oktober 2015 @ 23:12:
Wat probeer je precies met die post te bereiken? Je noemt geen nieuwe argumenten, je rant alleen een keer omdat je de tegenargumenten niet valide vindt. Dat mag je vinden, maar dat verandert niks aan het feit dat de mensen die erover gaan die mening niet met je delen...

Argumenten ervoor zijn reeds lang en breed aangedragen, daar heb ik niks meer op aan te vullen. Jullie mening is blijkbaar dat die argumenten nog onvoldoende zwaarwegend zijn om het aan te pakken. Mijn mening, als gebruiker van deze site, is dat het wél hoog tijd wordt om https te ondersteunen en te prefereren. En zijn gebruikers niet jullie belangrijkste asset?

[Compizfox]

W3ird_N3rd schreef op woensdag 07 oktober 2015 @ 23:13:
[...]
De meldingen door mixed content zijn niet te voorkomen, dat is gewoon fout gedrag van browsers.

Die melding hierboven is geen melding over mixed content. Het is een waarschuwing dat het form wordt gepost over HTTP, terwijl de website wordt bekeken over HTTPS.

Ik heb onder Firefox nog nooit een popup gehad over mixed content trouwens. Ik krijg enkel een ander icoontje in de adresbalk, wat prima gedrag is wat mij betreft. Is dat niet alleen IE die in zo'n geval een popup geeft? Of doet Chrome dat ook?

En ik erger me er ook flink aan (al is het gaan wennen). Het punt is is dat het heel simpel op te lossen is. Nu staat het protocol van de form action er hardcoded in (http://gathering.tweakers.net/forum/insert_message/1601768 bijvoorbeeld). Als je daar //gathering.tweakers.net/forum/insert_message/1601768 ben je al klaar...

Sterker nog, die URL hoeft helemaal niet absoluut te zijn. Een nog veel logischere oplossing is om er gewoon forum/insert_message/1601768 van te maken. Ik snap dan ook niet dat dat niet gewoon gedaan wordt.

En ja, ik vind dit eigenlijk best wel vallen onder dat "Tweakers het niet goed voor elkaar heeft". Zo'n absolute URL in een form action is om precies deze reden een slecht idee.

[ Voor 31% gewijzigd door Compizfox op 07-10-2015 23:38 ]

[NMe]

Fuzzillogic schreef op woensdag 07 oktober 2015 @ 23:27:
[...]

Argumenten ervoor zijn reeds lang en breed aangedragen, daar heb ik niks meer op aan te vullen. Jullie mening is blijkbaar dat die argumenten nog onvoldoende zwaarwegend zijn om het aan te pakken. Mijn mening, als gebruiker van deze site, is dat het wél hoog tijd wordt om https te ondersteunen en te prefereren. En zijn gebruikers niet jullie belangrijkste asset?

Dus een beargumenteerd betoog is waardeloos wanneer jij van mening bent dat het allemaal kut is?

Als we naar alle gebruikers zouden luisteren die een bepaalde mening hadden dan konden we volgende week nog de site opdoeken. Om te beginnen omdat er ook gebruikers zijn die precies een tegenovergestelde mening hebben. Je maakt het dus wel erg simpel zo...

[Fuzzillogic]

NMe schreef op woensdag 07 oktober 2015 @ 23:29:
[...]

Dus een beargumenteerd betoog is waardeloos wanneer jij van mening bent dat het allemaal kut is?

Nee hoor, ik ben slechts van andere mening. Mag dat? Ik geef slechts een +1 aan de [feat]-request om https te gebruiken, om te laten zien dat meer mensen achter dat verzoek staan.

Soms mag je best gewoon dingen vinden, vind ik.

[Mentalist]

Compizfox schreef op woensdag 07 oktober 2015 @ 23:28:
[...]

Die melding hierboven is geen melding over mixed content. Het is een waarschuwing dat het form wordt gepost over HTTP, terwijl de website wordt bekeken over HTTPS.

Ik heb onder Firefox nog nooit een popup gehad over mixed content trouwens. Ik krijg enkel een ander icoontje in de adresbalk, wat prima gedrag is wat mij betreft. Is dat niet alleen IE die in zo'n geval een popup geeft? Of doet Chrome dat ook?

En ik erger me er ook flink aan (al is het gaan wennen). Het punt is is dat het heel simpel op te lossen is. Nu staat het protocol van de form action er hardcoded in (http://gathering.tweakers.net/forum/insert_message/1601768 bijvoorbeeld). Als je daar //gathering.tweakers.net/forum/insert_message/1601768 ben je al klaar...

Sterker nog, die URL hoeft helemaal niet absoluut te zijn. Een nog veel logischere oplossing is om er gewoon forum/insert_message/1601768 van te maken. Ik snap dan ook niet dat dat niet gewoon gedaan wordt.

En ja, ik vind dit eigenlijk best wel vallen onder dat "Tweakers het niet goed voor elkaar heeft". Zo'n absolute URL in een form action is om precies deze reden een slecht idee.

Ik noemde precies dit al eerder in deze thread. Alle URLs op t.net zijn absoluut en worden gemaakt a.d.h.v. een baseURL.

Zie ook crisp in "[feat] HTTPS/SSL op Tweakers/GoT".

Relatieve URLs komen er dus sowieso niet, of de baseURL met // mogelijk is zonder complicaties weet ik niet.

[Compizfox]

W3ird_N3rd schreef op woensdag 07 oktober 2015 @ 23:46:
[...]

Ik noemde precies dit al eerder in deze thread. Alle URLs op t.net zijn absoluut en worden gemaakt ad.h.v. een baseURL.

Zie ook crisp in "[feat] HTTPS/SSL op Tweakers/GoT".

Relatieve URLs komen er dus sowieso niet, of de baseURL met // mogelijk is zonder complicaties weet ik niet.

Aha, OK. Apart.

Blijkbaar rewrite HTTPS-Everywhere al die absolute links dan naar https://? Blijkbaar doet ie dat dan niet voor form actions.

[carnager]

Als we kijken naar de site ontwikkeling, en voor het gemak pakken we dan de laatste iteratie er maar even bij, dan vind ik dat https echt eindelijk wel eens aan bod mag komen.
Er wordt namelijk, afgezien van de (long overdue) multi image upload, eigenlijk alleen maar aan de backend van de site gepulkt om hem voor een eventueel toekomstig scenario klaar te stomen, een toekomst die in de verste verte nog niet vast staat waarvan het ooit nodig zal zijn. Prima, vooral doen, maar dan mag https ook wel eens beter geïntegreerd worden. Al is het maar op best-effort basis. Altijd nog beter dan stug de oogkappen op houden en doen of er niets aan de hand is. https-everywhere doet z'n best er wat van te maken maar het is toch van de zotte dat op een technologiesite, degene de pretendeert de meest vooruitstrevende van Nederland te zijn, je met plugins moet gaan klooien om een basisfunctionaliteit aan de praat te krijgen, alleen omdat men te lui is de baseURL op https te zetten wanneer iemand de site/forum via https bezoekt. There: my €0,02..

[Mentalist]

Compizfox schreef op woensdag 07 oktober 2015 @ 23:49:
[...]

Aha, OK. Apart.

Blijkbaar rewrite HTTPS-Everywhere al die absolute links dan naar https://? Blijkbaar doet ie dat dan niet voor form actions.

Maar bij gebruik van de zoekfunctie krijg je die melding niet. Dat is het rare. Overigens:

quote: https://www.eff.org/https-everywhere/

Sadly, many sites still include a lot of content from third party domains that is not available over HTTPS. As always, if the browser's lock icon is broken or carries an exclamation mark, you may remain vulnerable to some adversaries that use active attacks or traffic analysis. However, the effort that would be required to eavesdrop on your browsing should still be usefully increased. Update: in recent versions of Firefox, Mozilla has removed the broken padlock indicator. Now, the only difference between a secure and insecure HTTPS deployment is the blue or green tint on the left of the address bar for secure deployments

Als alle grote browsers het zo gaan doen staat niets https voor t.net meer in de weg volgens mij.

[Verwijderd]

Gaat het registratie- inlogproces wel volledig over https? Vele websites werken al onder https maar het verbaast me dat jullie achterblijven.

[crisp]

Verwijderd schreef op donderdag 21 januari 2016 @ 14:09:
Gaat het registratie- inlogproces wel volledig over https?

Ja

Vele websites werken al onder https maar het verbaast me dat jullie achterblijven.

Wij zijn een grote website met behoorlijk wat legacy (zowel in code als in content), dus het is niet zo makkelijk om om te switchen (en mixed content daarbij te voorkomen). Voor sites als Facebook en Twitter is dit een stuk makkelijker...

[Compizfox]

Mixed content zul je op een forum altijd wel houden (door gebruikers die plaatjes over HTTP includen bijvoorbeeld), maar is dat nou zo'n groot probleem dan?

[crisp]

Compizfox schreef op donderdag 21 januari 2016 @ 14:22:
Mixed content zul je op een forum altijd wel houden (door gebruikers die plaatjes over HTTP includen bijvoorbeeld), maar is dat nou zo'n groot probleem dan?

Ja, want een gebruiker weet dan niet welk deel van het verkeer wel secure is en welk deel niet, en daarmee mis je dan eigenlijk het doel Als je het doet moet je het goed doen. Ons idee is om non-secure content (voor zover we dat niet kunnen omzetten naar https wat we voor de meestgebruikte externe domeinen zullen moeten onderzoeken) soort van click-to-activate te maken, of wellicht een voorkeurkeuze voor bezoekers.

Maar op dit moment kan ik verder geen uitspraken doen over of en wanneer we hiermee aan de slag gaan. We hebben nog wel meer wensen liggen, en sec gezien is voor onszelf de noodzaak ook niet zo heel groot (we zijn ook geen bank of belastingdienst ). Wel merken we dat gebruikers het wel heel belangrijk vinden en het ook steeds meer gaan verwachten (waarvan akte hierboven dus )

[Verwijderd]

Compizfox schreef op donderdag 21 januari 2016 @ 14:22:
Mixed content zul je op een forum altijd wel houden (door gebruikers die plaatjes over HTTP includen bijvoorbeeld), maar is dat nou zo'n groot probleem dan?

Of plaatjes (via proxy) zelf hosten? Sowieso zijn er tegenwoordig genoeg gratis image hosters die ook https ondersteunen.

HSTS zou wel een Google ranking boost geven.

[Osiris]

crisp schreef op donderdag 21 januari 2016 @ 14:27:
[...]

(…) en sec gezien is voor onszelf de noodzaak ook niet zo heel groot (we zijn ook geen bank of belastingdienst

Da's wel een errûg ouderwetse gedachte hoor

Denk aan initiatieven als Let's Encrypt die als doel heeft het complete web te TLS-eren d.m.v. gratis DV-certificaten.

Non-HTTPS-verkeer is simpelweg zooo 2014!

[crisp]

Verwijderd schreef op donderdag 21 januari 2016 @ 17:05:
[...]
Of plaatjes (via proxy) zelf hosten? Sowieso zijn er tegenwoordig genoeg gratis image hosters die ook https ondersteunen.

HSTS zou wel een Google ranking boost geven.

Bij zelf hosten komt weer aansprakelijkheid kijken (auteursrechten e.d.). Proxy geeft weer een hoop extra dataverkeer. En zoals je zegt zullen de meeste externe imagehosters wel https ondersteunen, dus kunnen we dat net zo goed gewoon omzetten in de content

[crisp]

Osiris schreef op donderdag 21 januari 2016 @ 17:19:
[...]

Da's wel een errûg ouderwetse gedachte hoor

Denk aan initiatieven als Let's Encrypt die als doel heeft het complete web te TLS-eren d.m.v. gratis DV-certificaten.

Non-HTTPS-verkeer is simpelweg zooo 2014!

Denken dat https je veiligheid en privacy geeft is zooo 2016 (maar best wel naief )

[Osiris]

crisp schreef op donderdag 21 januari 2016 @ 17:22:
[...]

Denken dat https je veiligheid en privacy geeft is zooo 2016 (maar best wel naief )

Depends, bedoel je zaken als SNI, waardoor een deel alsnog zichtbaar is bij een MitM of bedoel je dat `secp521r1` (of de andere 2 standaard curves) een onveilige curve is en daardoor door de NSA te kraken?

[ Voor 12% gewijzigd door Osiris op 21-01-2016 17:26 ]

[Verwijderd]

Osiris schreef op donderdag 21 januari 2016 @ 17:19:
[...]

Da's wel een errûg ouderwetse gedachte hoor

Denk aan initiatieven als Let's Encrypt die als doel heeft het complete web te TLS-eren d.m.v. gratis DV-certificaten.

Non-HTTPS-verkeer is simpelweg zooo 2014!

Een beetje grote site dat zichzelf serieus neemt heeft wel een certificaat van een bekende CA als Symantec, of Comodo. Let's Encrypt is denk ik meer voor de wat kleinere websites.

[Osiris]

Verwijderd schreef op donderdag 21 januari 2016 @ 17:34:
[...]
Een beetje grote site dat zichzelf serieus neemt heeft wel een certificaat van een bekende CA als Symantec, of Comodo. Lets Encrypt is denk ik meer voor de wat kleinere websites.

Ik zei ook niet dat T.net gebruik van LE moest gaan maken Sowieso hebben ze allang een certificaat, volgens mij zelfs met wildcard

[ Voor 9% gewijzigd door Osiris op 21-01-2016 17:36 ]

[NMe]

Osiris schreef op donderdag 21 januari 2016 @ 17:26:
[...]

Depends, bedoel je zaken als SNI, waardoor een deel alsnog zichtbaar is bij een MitM of bedoel je dat `secp521r1` (of de andere 2 standaard curves) een onveilige curve is en daardoor door de NSA te kraken?

Er gaat amper data over de lijn die niet sowieso al publiek of semi-publiek gemaakt wordt. Zolang het inloggen en registreren achter SSL zit is het niet alsof er veel buit te maken is dat anders niet te krijgen zou zijn. Hooguit in DM's misschien, maar die zouden misschien ook achter SSL weggestopt kunnen worden omdat externe content daar veel minder speelt.

[crisp]

Osiris schreef op donderdag 21 januari 2016 @ 17:26:
[...]

Depends, bedoel je zaken als SNI, waardoor een deel alsnog zichtbaar is bij een MitM of bedoel je dat `secp521r1` (of de andere 2 standaard curves) een onveilige curve is en daardoor door de NSA te kraken?

Ik bedoel dat het niet iets is wat je beschermt tegen malware, tracking of zelfs dit soort praktijken... Het is geen wondermiddel, en een groen slotje is geen garantie. Voor de doorsnee internetter biedt het niet veel meer dan een gevoel van (schijn?)veiligheid, en juist weer onterecht ongerustheid als ze met foutmeldingen worden geconfronteerd als ze een of andere hobbysite per ongeluk via https bezoeken

[Osiris]

NMe schreef op donderdag 21 januari 2016 @ 17:38:
[...]

Er gaat amper data over de lijn die niet sowieso al publiek of semi-publiek gemaakt wordt. Zolang het inloggen en registreren achter SSL zit is het niet alsof er veel buit te maken is dat anders niet te krijgen zou zijn. Hooguit in DM's misschien, maar die zouden misschien ook achter SSL weggestopt kunnen worden omdat externe content daar veel minder speelt.

Maar da's ook helemaal niet de gedachte van de hedendaagse opinie van sommigen/velen over het gebruik van TLS: het gaat simpelweg niemand wat aan welke nieuwsposts/topics mij interesseren. Het hele web zou achter TLS moeten hangen. Ook al is de site nog zo nutteloos/oninteressant

crisp schreef op donderdag 21 januari 2016 @ 17:43:
[...]

Ik bedoel dat het niet iets is wat je beschermt tegen malware, tracking of zelfs dit soort praktijken... Het is geen wondermiddel, en een groen slotje is geen garantie. Voor de doorsnee internetter biedt het niet veel meer dan een gevoel van (schijn?)veiligheid, en juist weer onterecht ongerustheid als ze met foutmeldingen worden geconfronteerd als ze een of andere hobbysite per ongeluk via https bezoeken

Dat claim ik gelukkig dan ook niet

DV-certificaten zijn sowieso geen reden om de site ultiem vertrouwen toe te kennen. Projecten als LE die een 100 % coverage van TLS nastreven, zal daarin mogelijk een cultuurverschuiving teweeg brengen: elk random (sub)domein kan achter een groen slotje zitten en een groen slotje van een DV-certificaat zegt in principe niets over de veiligheid van die site zélf. En da's sowieso altijd al zo geweest, maar nu wordt 't hooguit wat "reeëler" nu elke puisterige tiener een gratis certificaat kan krijgen. Konden ze sowieso al overigens
En hobbysites zul je altijd blijven houden, inc self signed certificaten enzo

[ Voor 46% gewijzigd door Osiris op 21-01-2016 17:47 ]

[crisp]

Osiris schreef op donderdag 21 januari 2016 @ 17:43:
[...]
En hobbysites zul je altijd blijven houden, inc self signed certificaten enzo

Yep, en daarom ook mijn mening dat *als* we hier https gaan ondersteunen we dat ook goed moeten doen (en dus ook mixed content moeten voorkomen)

[Osiris]

crisp schreef op donderdag 21 januari 2016 @ 17:56:
[...]

Yep, en daarom ook mijn mening dat *als* we hier https gaan ondersteunen we dat ook goed moeten doen (en dus ook mixed content moeten voorkomen)

Uiteraard.. En da's ook allemaal niet zo makkelijk.

D'r zijn ook forumsoftwares die volledig automagisch plaatjes lokaal backuppen enzo, maar dan zit je weer met zaken als storage space en eventueel copyright e.d..

Je zóu theoretisch ook een soort TLS enabled image-proxy kunnen maken: on-the-fly 't plaatje vanaf die proxy downloaden en doorpaassen naar de client via TLS. Maar dan zit je weer met nóg meer CPU-verbruik

Maargoed, da's iets voor jullie om te bedenken Wij willen gewoon TLS

[ Voor 4% gewijzigd door Osiris op 21-01-2016 18:05 ]

[Compizfox]

Persoonlijk vind ik mixed content helemaal geen probleem. Het is gewoon iets wat lastig op te lossen is (ik kan me voorstellen dat jullie alles zelf hosten of een proxy niet zien zitten).

Ik browse Tweakers al jaren over HTTPS en ondervindt totaal geen problemen, behalve één heel makkelijk te voorkomen warning bij het POSTen van een reactie. Maar dat heb ik al wel drie keer genoemd in dit topic.

---

Osiris schreef op donderdag 21 januari 2016 @ 17:26:
[...]

Depends, bedoel je zaken als SNI, waardoor een deel alsnog zichtbaar is bij een MitM of bedoel je dat `secp521r1` (of de andere 2 standaard curves) een onveilige curve is en daardoor door de NSA te kraken?

Ik denk eerder dat hij doelt op het probleem met PKI. Er staan tegenwoordig zoveel root-certificaten in een truststore dat het onmogelijk te controleren valt of al die CAs wel te vertrouwen zijn. Misschien zijn er wel overheden die toegang hebben tot de private keys van bepaalde CAs, bijvoorbeeld.

---

Verwijderd schreef op donderdag 21 januari 2016 @ 17:34:
[...]
Een beetje grote site dat zichzelf serieus neemt heeft wel een certificaat van een bekende CA als Symantec, of Comodo. Let's Encrypt is denk ik meer voor de wat kleinere websites.

Waar haal je dat vandaan? Een certificaat is een certificaat. Een gratis certificaat is niet minder dan die van een (veel te) dure CA.

[ Voor 49% gewijzigd door Compizfox op 21-01-2016 19:49 ]

[Verwijderd]

Compizfox schreef op donderdag 21 januari 2016 @ 19:44:
Persoonlijk vind ik mixed content helemaal geen probleem. Het is gewoon iets wat lastig op te lossen is (ik kan me voorstellen dat jullie alles zelf hosten of een proxy niet zien zitten).

Ik browse Tweakers al jaren over HTTPS en ondervindt totaal geen problemen, behalve één heel makkelijk te voorkomen warning bij het POSTen van een reactie. Maar dat heb ik al wel drie keer genoemd in dit topic.

Waar haal je dat vandaan? Een certificaat is een certificaat. Een gratis certificaat is niet minder dan die van een (veel te) dure CA.

Ik heb hier ook Tweakers in https via https everywhere alleen je weet niet wat wel en niet encrypted wordt verzonden.

Bij een grote CA is het wel zo dat het een stukje extra vertrouwen geeft, waarom maken MS en Yahoo dan gebruik van Symantec wat één van de duurste tenten is?

[Compizfox]

Verwijderd schreef op donderdag 21 januari 2016 @ 21:19:
[...]
Ik heb hier ook Tweakers in https via https everywhere alleen je weet niet wat wel en niet encrypted wordt verzonden.

Ik dit topic wordt bij mij alles encrypted verzonden, omdat er geen externe plaatjes over HTTP in staan.

Ik ben het wel met je eens dat het in browsers vaak niet duidelijk is wat de unencrypted content is (ik heb in Firefox tevergeefs lopen zoeken naar een lijst met unencrypted content). Je kunt het echter wel gokken.

Firefox blokkeert by default actieve mixed content (zoals JavaScript. fonts, CSS) maar laat passieve mixed content (images, video) gewoon zien. Dat vind ik wel een mooie oplossing.

Als er actieve mixed content geblokkeerd is gaat het negen van de tien keer om ads of trackers. Als er passieve mixed content is gaat het bijna altijd om plaatjes.

Bij een grote CA is het wel zo dat het een stukje extra vertrouwen geeft, waarom maken MS en Yahoo dan gebruik van Symantec wat één van de duurste tenten is?

Ik vertrouw een grote CA zoals Symantec zeker niet meer dan Mozilla of de EFF. In tegendeel eigenlijk.

[Osiris]

Compizfox schreef op donderdag 21 januari 2016 @ 19:44:
[...]

Ik denk eerder dat hij doelt op het probleem met PKI. Er staan tegenwoordig zoveel root-certificaten in een truststore dat het onmogelijk te controleren valt of al die CAs wel te vertrouwen zijn. Misschien zijn er wel overheden die toegang hebben tot de private keys van bepaalde CAs, bijvoorbeeld.

Wikipedia: HTTP Public Key Pinning

[Gomez12]

Verwijderd schreef op donderdag 21 januari 2016 @ 21:19:
[...]
Bij een grote CA is het wel zo dat het een stukje extra vertrouwen geeft, waarom maken MS en Yahoo dan gebruik van Symantec wat één van de duurste tenten is?

Omdat prijs voor die toko's zo goed als niets uitmaakt en het zal gewoon van oudsher zo zijn plus dat ze nog wel een zooitje legacy dingen zullen hebben draaien.

Bijv een MS die zal de 1e 20 jaar oid niet over kunnen naar iets als Let's Encrypt want volgens mij hebben ze extended support contracts op WinXP bij enkele overheden lopen en WinXP basis instap zonder updates moet wel zonder problemen bij windows update kunnen komen dus oftewel windows updates zal enkel kunnen kiezen uit CA's die ten tijde van WinXP bestonden.

En de winXP support contracten zullen wel ergens aflopen en dan kunnen ze die CA's dumpen, maar het spelletje begint dan weer opnieuw met de volgende oude windows versie met extended support contracten.

Al kost een symantec een miljoen, alsnog is het voor MS dan goedkoper om gewoon daar te blijven dan over te stappen en de support calls te helpen en de mogelijke claims te moeten aanvechten, hence het bedrag maakt ze geen ene donder uit.

[Verwijderd]

Jij hebt het over software, dat is anders dan bij websites die certificaten van een veel kortere levensduur gebruiken.

Ik verbaas me wel over het enorme prijsverschil tussen de CA bedrijven onderling zoals Verisign en Startcom. Iemand die dit kan verklaren?

[Compizfox]

reviews: Tweakers stapt over op https

[ACM]

Deze kan inderdaad dicht