Deze verbinding is niet beveiligd

[talpo]

Wanneer ik ingelogd ben en ik ga naar notificaties(het belletje) en klik op instellingen, dan geeft firefox de volgende melding:

Deze verbinding is niet beveiligd

U hebt Firefox gevraagd een beveiligde verbinding op te zetten met secure.tweakers.net, maar we kunnen niet bevestigen dat uw verbinding beveiligd is.

Normaal gesproken zullen websites vertrouwde identificatie tonen wanneer u een beveiligde verbinding wilt opzetten, om te bewijzen dat u naar de juiste plek gaat. De identiteit van deze website kan echter niet worden bevestigd.
Wat moet ik doen?

Als u doorgaans zonder problemen verbinding maakt met deze website, kan deze fout betekenen dat iemand de website probeert na te bootsen en kunt u beter niet verdergaan.

[_David_]

Geen extensies gebruiken zoals HTTPS Anywhere.

HTTPS wordt niet ondersteund door tweakers (op het my tnet deel na dan)

[Brons]

Hier krijg ik soms ook een veiligheidswaarschuwing van mijn browser. Onder andere als ik mijn profiel open op de volgende pagina: https://secure.tweakers.net/my.tnet/preferences/

[Deathchant]

@ _David_

Onzin, ik gebruik het al jaren en post hier ook al jaren. Maar sinds vanmiddag 16:00 krijg ik ook de untrusted connection van Firefox, op zowel mijn laptop als PC en beiden precies vanaf 16:00.
Ik vermoed toch echt dat een of ander certificaat verlopen is om 16:00.

Dit moet wel echt gefixed worden.
Het feit dat ik deze post unecrypted verstuur (http:// en niet https:// met username + pass) stelt me niet gerust.

Ik ga dus niet elke keer met username en wachtwoord inloggen als ik http zie en niet https.
Ik zal via http wel gewoon de frontpage checken en dit stukje op het forum bijhouden zodat ik kan lezen dat eraan gewerkt wordt, maar ik post 0,0 meer als ik dit onbeveiligd moet doen.

[Miks]

ik heb er geen last van met Firefox
(overigens redelijk kale Firefox)

[ Voor 33% gewijzigd door Miks op 09-01-2015 21:35 ]

[rob_erwt]

Uit een ander topic: Kees in "Kan reacties die gefilterd worden niet meer openklappen". Dat lijkt me iets met elkaar te maken hebben dus ik ga onze systeembeheerder even op dit topic wijzen.

[BastiaanN]

Mijn Android telefoon en tablet melden hetzelfde in chrome.

[ Voor 12% gewijzigd door BastiaanN op 10-01-2015 16:44 . Reden: Kneiter, wat een groot plaatje :x ]

[_David_]

Deathchant schreef op vrijdag 09 januari 2015 @ 21:29:
@ _David_

Onzin, ik gebruik het al jaren en post hier ook al jaren. Maar sinds vanmiddag 16:00 krijg ik ook de untrusted connection van Firefox, op zowel mijn laptop als PC en beiden precies vanaf 16:00.
Ik vermoed toch echt dat een of ander certificaat verlopen is om 16:00.

Dit moet wel echt gefixed worden.
Het feit dat ik deze post unecrypted verstuur (http:// en niet https:// met username + pass) stelt me niet gerust.

Ik ga dus niet elke keer met username en wachtwoord inloggen als ik http zie en niet https.
Ik zal via http wel gewoon de frontpage checken en dit stukje op het forum bijhouden zodat ik kan lezen dat eraan gewerkt wordt, maar ik post 0,0 meer als ik dit onbeveiligd moet doen.

Lees mijn reactie nog even na aub, er is niks onzin aan, alleen op het my tnet gedeelte wordt HTTPS ondersteunt, op de rest van de website niet.

ACM schreef op donderdag 08 januari 2015 @ 22:40:
Wij bieden HTTPS namelijk ook gewoon niet aan voor tweakers.net. Dat de servers het toevallig wel aan kunnen is een bijwerking van onze configuratie voor o.a. secure.tweakers.net.

Als je die niet-supported variant toch gaat gebruiken, dan moet je niet verbaasd zijn dat er dingen niet goed werken

-------

Het certficaat op secure.tweakers.net geeft trouwens bij gewoon nog aan dat hij geldig is (Firefox):

[NMe]

Deathchant schreef op vrijdag 09 januari 2015 @ 21:29:
Het feit dat ik deze post unecrypted verstuur (http:// en niet https:// met username + pass) stelt me niet gerust.

Ik ga dus niet elke keer met username en wachtwoord inloggen als ik http zie en niet https.
Ik zal via http wel gewoon de frontpage checken en dit stukje op het forum bijhouden zodat ik kan lezen dat eraan gewerkt wordt, maar ik post 0,0 meer als ik dit onbeveiligd moet doen.

Euh... Inloggen is het enige moment waarop je username en password over de lijn gaan en dat zit gewoon achter HTTPS?

[Kees]

kut android.. config en certificaat reverted anyway tot dat ik kan uitzoeken hoe ik zowel een android als een chome gelijktijdig kan bevredigen.

[Thralas]

Kees schreef op vrijdag 09 januari 2015 @ 22:59:
kut android.. config en certificaat reverted anyway tot dat ik kan uitzoeken hoe ik zowel een android als een chome gelijktijdig kan bevredigen.

Umm, heb je dat nu al gedaan? Ik zie hetzelfde certificaat nog en ook wat de issue ermee is.

Je certificate chain is brak, ik krijg alleen het certificaat voor Tweakers, maar de intermediate van RapidSSL ontbreekt. Dat heeft dus weinig met Android te maken, en alles met een met het feit dat 'andere' browsers de intermediate blijkbaar shippen - de server hoort gewoon alle certs tot aan de root mee te sturen.

[Kees]

Revert duurt tot 30 minuten. En ik geef de certs ook mee, alleen niet iedereen snapt ze blijkbaar. Maandag maar even aan de ssl-provider voorleggen

[talpo]

Bij mij gaat alles weer goed. Bedankt.

[Thralas]

Ah wacht, iets meer nuance:

code:

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number: 99484 (0x1849c)
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: C=US, O=GeoTrust Inc., CN=RapidSSL SHA256 CA - G3
        Validity
            Not Before: Jan  8 05:52:13 2015 GMT
            Not After : Dec 12 14:15:35 2016 GMT
        Subject: OU=GT15483013, OU=See www.rapidssl.com/resources/cps (c)13, OU=Domain Control Validated - RapidSSL(R), CN=*.tweakers.net
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                Public-Key: (2048 bit)
                Modulus:
                    00:e4:83:d2:38:79:51:98:a5:b9:fa:fe:db:8d:b0:
                    c9:9f:7b:8e:36:1f:38:f0:58:ea:da:80:bf:7a:19:
                    c1:ff:f8:cd:90:47:b7:3f:ce:72:1f:c5:1f:dc:54:
                    2c:33:dc:56:a5:0f:ac:bd:1a:d5:0e:49:44:98:f4:
                    a6:c7:31:60:25:3f:01:d8:75:33:f6:45:7f:ca:be:
                    eb:bd:77:af:3c:f0:dc:5b:af:4a:1e:1f:a0:6d:e9:
                    5a:e5:3a:d7:e9:d5:8c:e0:7d:8b:1c:53:5b:eb:b0:
                    27:ba:55:aa:1f:c1:f2:71:da:08:bf:48:04:25:89:
                    a7:56:19:32:b6:ca:69:3f:c3:2d:a2:6f:f2:dd:06:
                    e9:e4:01:95:1c:4b:77:c0:22:c1:18:5c:ac:47:c6:
                    2b:d5:69:4c:b6:93:fc:63:89:42:5a:38:44:ec:09:
                    c4:62:81:11:b8:ba:84:f2:ed:f8:65:0a:d5:9a:59:
                    7b:97:3a:44:1c:15:a9:af:92:c0:26:f8:7f:6a:c8:
                    44:77:b3:bc:08:15:7a:75:45:08:96:fb:8a:8f:8c:
                    86:e7:77:a2:4d:c5:30:dc:52:13:4b:26:4b:22:ba:
                    5d:6b:2b:bb:63:f2:de:e0:0b:a7:51:b0:52:04:61:
                    e2:9a:80:16:2c:5a:49:5f:eb:b5:14:ad:04:fd:01:
                    3e:df
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Authority Key Identifier: 
                keyid:C3:9C:F3:FC:D3:46:08:34:BB:CE:46:7F:A0:7C:5B:F3:E2:08:CB:59

            Authority Information Access: 
                OCSP - URI:http://gv.symcd.com
                CA Issuers - URI:http://gv.symcb.com/gv.crt

            X509v3 Key Usage: critical
                Digital Signature, Key Encipherment
            X509v3 Extended Key Usage: 
                TLS Web Server Authentication, TLS Web Client Authentication
            X509v3 Subject Alternative Name: 
                DNS:*.tweakers.net, DNS:tweakers.net
            X509v3 CRL Distribution Points: 

                Full Name:
                  URI:http://gv.symcb.com/gv.crl

            X509v3 Basic Constraints: critical
                CA:FALSE
            X509v3 Certificate Policies: 
                Policy: 2.16.840.1.113733.1.7.54
                  CPS: https://www.rapidssl.com/legal

    Signature Algorithm: sha256WithRSAEncryption
         a7:92:f3:6e:48:91:09:9c:43:05:c5:95:99:be:c4:8f:b4:96:
         65:20:1f:c5:9a:5d:b2:72:82:ef:37:7b:a0:75:3c:15:e6:72:
         2a:1c:77:1e:97:c5:4e:63:c5:19:c8:9f:7e:27:ca:0a:b9:5b:
         d6:d8:5c:b1:26:1e:74:b0:bc:41:b0:fe:a1:61:e0:d8:1a:3e:
         39:4c:1c:4c:33:4b:40:8a:d0:e8:05:2a:61:67:ab:d3:41:8d:
         ee:74:11:13:be:46:56:62:e4:db:0c:e6:9f:0d:84:6b:25:73:
         89:70:3e:d1:79:9e:cd:74:09:f1:c7:8b:f6:79:51:6b:b3:ba:
         74:4f:34:64:ed:62:75:41:9b:32:f3:8c:25:73:76:68:ce:a5:
         f1:a1:e2:d5:33:49:54:7a:31:a8:91:2f:e5:f9:f8:18:cb:5e:
         fc:a5:7f:36:01:c2:37:c6:fd:80:fa:69:a7:d8:8d:ac:e6:6b:
         19:38:28:17:aa:f0:dd:c7:d4:45:d5:e5:72:14:e6:d0:3a:3c:
         3b:0b:72:58:ac:dd:d5:1b:3a:2b:01:71:62:a5:0c:cf:19:0a:
         59:ea:18:9b:cb:3d:39:7a:4c:3b:d8:cc:6d:29:eb:22:06:46:
         02:79:57:ce:0a:f5:75:f0:6e:d2:dd:cb:9f:f1:19:38:ef:78:
         55:a9:4a:c8

Er staat een Authority Information Access object in, waardoor het wel werkt in de desktop browsers - die halen de intermediate dan vanzelf op waar nodig.

Kees schreef op vrijdag 09 januari 2015 @ 23:10:
En ik geef de certs ook mee, alleen niet iedereen snapt ze blijkbaar.

Nee, ik zag enkel het leaf certificate. Als je de RapidSSL intermediate toevoegt werkt het prima, ook onder Android (en alle andere clients die niets met AIA doen).

[Deathchant]

Bij mij werkt het in ieder geval weer. Bedankt voor de fix!

[CyBeR]

Kees schreef op vrijdag 09 januari 2015 @ 23:10:
Revert duurt tot 30 minuten. En ik geef de certs ook mee, alleen niet iedereen snapt ze blijkbaar. Maandag maar even aan de ssl-provider voorleggen

Waarschijnlijk moet je de root niet mee sturen maar alleen de intermediate. Als je de root meestuurt en de client heeft een andere versie aan boord (rsa vs dsa) dan raakt 'ie in de war.

Naar het schijnt is android ook picky over de volgorde van root vs intermediate, iets wat je ook kunt fixen door de root niet mee te sturen.

[ Voor 13% gewijzigd door CyBeR op 10-01-2015 17:55 ]

[Thralas]

CyBeR schreef op zaterdag 10 januari 2015 @ 17:48:
Waarschijnlijk moet je de root niet mee sturen maar alleen de intermediate. Als je de root meestuurt en de client heeft een andere versie aan boord (rsa vs dsa) dan raakt 'ie in de war.

De root meesturen is in geen enkele situatie zinnig? Dat is immers de trust anchor, die moet al aanwezig zijn in de client trust store. En RSA vs DSA zou gewoon 2 verschillende certs zijn?

Naar het schijnt is android ook picky over de volgorde van root vs intermediate, iets wat je ook kunt fixen door de root niet mee te sturen.

Of intermediate vs leaf. De juiste volgorde is volgens mij vanaf de leaf omhoog, dus eerst leaf, dan intermediate(s).

[Deathchant]

En daar gaan we weer.....vanaf 09:10 vanmorgen alweer de untrusted connection melding....

[Kees]

CyBeR schreef op zaterdag 10 januari 2015 @ 17:48:
[...]


Waarschijnlijk moet je de root niet mee sturen maar alleen de intermediate. Als je de root meestuurt en de client heeft een andere versie aan boord (rsa vs dsa) dan raakt 'ie in de war.

Dat zal hier waarschijnlijk gebeurd zijn; ik kreeg met mijn certificaat twee CA's mee: RapidSSL SHA256 CA - G3 en GeoTrust Global CA; als ik ze beide meegeef in de ca-bundle dan zeurt oa. Qualys over ontbrekende intermediates, als ik alleen de eerste meegeef dan is alles goed.

Deathchant schreef op maandag 12 januari 2015 @ 09:12:
En daar gaan we weer.....vanaf 09:10 vanmorgen alweer de untrusted connection melding....

Vreemd, volgens de checks die ik uitvoerde was nu alles goed, ik kijk er naar...

[Kees]

Deathchant schreef op maandag 12 januari 2015 @ 09:12:
En daar gaan we weer.....vanaf 09:10 vanmorgen alweer de untrusted connection melding....

Zou nu opgelost moeten zijn, klopt dat?

[Deathchant]

Kees schreef op maandag 12 januari 2015 @ 09:19:
[...]

Zou nu opgelost moeten zijn, klopt dat?

Yes, doet t weer! Ik bezoek t.net altijd via https://tweakers.net. Dat werkte niet. Toen via http, maar als ik op inloggen klik dan kreeg ik de melding.
Vreemd genoeg kon ik net wel de https-versie van gathering.tweakers.net/forum bezoeken, en op het moment dat ik op een topic klikte kreeg ik weer de melding. Dus je zult wel bezig geweest zijn in de tussentijd
Maar kudos voor het snelle fixen!

[ReTechNL]

Recommendations
Update your certificate chain.
Your certificate chain is valid, but some older browsers may not recognize it. To support older browsers, download and install the missing intermediate certificate.

https://ssltools.websecur...ecker/views/certCheck.jsp

[Wackerstamfer]

Bump

Ondanks dat dit topic oud is heb ik momenteel weer hetzelfde probleem als hierboven beschreven.

Ons WiFi gaat via OpenDNS en die houdt het Tweakers certificaat gewoon doodleuk tegen:





Tips?

[Thralas]

Dat is niet het probleem van Tweakers, maar van OpenDNS.

Als OpenDNS (naar ik aanneem je DNS provider) een forged response op een DNS query terruggeeft (ipv. een NXDOMAIN) dan zou ik een andere DNS provider zoeken. Bijvoorbeeld die van je ISP.

Ik dacht dat ze met bovenstaand gedrag waren gestopt, dus ik ben erg benieuwd welk 'product' je van ze afneemt.

[Kees]

Mysth schreef op donderdag 30 juni 2016 @ 14:37:
Bump

Ondanks dat dit topic oud is heb ik momenteel weer hetzelfde probleem als hierboven beschreven.

Ons WiFi gaat via OpenDNS en die houdt het Tweakers certificaat gewoon doodleuk tegen:

[afbeelding]

[afbeelding]

Tips?

Is dat toevallig met een Blackberry? Dat is namelijk de enige telefoon die nog in gebruik is die onze certificaten niet ondersteunt / nog een patch ervoor moet krijgen.

[Wackerstamfer]

Kees schreef op vrijdag 01 juli 2016 @ 10:11:
[...]

Is dat toevallig met een Blackberry? Dat is namelijk de enige telefoon die nog in gebruik is die onze certificaten niet ondersteunt / nog een patch ervoor moet krijgen.

Nee een One plus one. Als ik met mijn laptop naar Tweakers wil krijg ik het zelfde. Komt sinds vorige week oid niet meer door Opendns.

[Kees]

Mysth schreef op vrijdag 01 juli 2016 @ 12:51:
[...]


Nee een One plus one. Als ik met mijn laptop naar Tweakers wil krijg ik het zelfde. Komt sinds vorige week oid niet meer door Opendns.

Welk IP adres krijg je via opendns? en/of welke opendns nameservers heb je ingesteld?

Als ik de nameservers van opendns gebruik (208.67.220.220 / 208.67.222.222) dan krijg ik 'gewoon' de juiste IP adressen voor tweakers. Ik vind het dus behoorlijk vreemd als jij andere adressen terug krijgt (en daardoor certificaat errors)

[ Voor 26% gewijzigd door Kees op 01-07-2016 12:55 ]

[Thralas]

Het is me ook nog steeds niet duidelijk wat de relatie tussen de twee screenshots is.

Als de tweede voortvloeit uit het negeren van de certificaatwaarschuwing dan heb je toch wel degelijk eoa. Squid proxy van OpenDNS op je pad. Aan Mysth om te verklaren hoe dat kan als hij z'n router zelf beheert

[Hero of Time]

Mysth schreef op vrijdag 01 juli 2016 @ 12:51:
[...]


Nee een One plus one. Als ik met mijn laptop naar Tweakers wil krijg ik het zelfde. Komt sinds vorige week oid niet meer door Opendns.

Check dan je netwerk even hoe dat allemaal zit, want dit lijkt op een proxy dat aan SSL spoofing/inspection doet.

[Wackerstamfer]

Hero of Time schreef op vrijdag 01 juli 2016 @ 23:25:
[...]

Check dan je netwerk even hoe dat allemaal zit, want dit lijkt op een proxy dat aan SSL spoofing/inspection doet.

Ik beheer het netwerk niet. Mijn systeembeheerder geeft aan dat hij er niks aan kan doen . Ik zal jullie opmerkingen eens terugkoppelen. Wordt vervolgd.