[and]

Hi Seitenbetreiber,
mir ist aufgefallen, dass https nicht funktioniert.

# wget --no-check-certificate -nv https://gez-boykott.de/Forum/index.php
2014-08-09 12:07:54 ERROR 404: Not Found.

Beim Bewegen im Forum ohne Browser Cookie Unterstützung erhalten alle selbst referenzierten Forum links einen zusätzlichen PHPSESSID=... Parameter im Link.
http://gez-boykott.de/Forum/index.php?PHPSESSID=.........&/topic,9690.0.html
statt
http://gez-boykott.de/Forum/index.php/topic,9690.0.html

[UnerhÖRt]

Hallo "and",

exakt dieses Problem habe ich bereits bei den Mods gemeldet, ich habe es - allerdings seltsamerweise nur temporär - schon seit Wochen auf mehreren Geräten beobachten können. Allerdings sind bei allen Browsern die Kekse fürs Forum zugelassen.

Bei mir ist es genau so wie du es beschreibst, durch die Session-ID verweisen die Links auf die Boardseite.
Sowohl beim Erstellen von Links in Beiträgen und Nachrichten, als auch beim Anklicken in einem Beitrag.

Und ich dachte schon ich wäre wieder der Einzige, bei dem der Fehler auftaucht...   

[and]

Hi,
Ich wünsche mir immer noch HTTPS als Zugriffsmöglichkeit auf dieses wertvolle und wichtige Forum.
Ein self sign Cert reicht völlig aus.

[pinguin]

Und ich bekomme eben solch' eine Meldung:

Die Domain "gez-boykott.de" ist nicht über https verfügbar.

[mini]

Beim Bewegen im Forum ohne Browser Cookie Unterstützung erhalten alle selbst referenzierten Forum links einen zusätzlichen PHPSESSID=... Parameter im Link.
http://gez-boykott.de/Forum/index.php?PHPSESSID=.........&/topic,9690.0.html

Wenn man Cookies ausschaltet, bleibt zur Sessionnachverfolgung nur diese Möglichkeit übrig.
Insofern: Geht technisch nicht anders.

Ein self sign Cert reicht völlig aus.

Davon ist - aus Sicht eines langjährigen IT-lers mit langjähriger eigener Online-Plattform - abzuraten. Das führt ständig zu Warnhinweisen in Browsern. In Chrome sind die sehr hässlich.

Die Domain "gez-boykott.de" ist nicht über https verfügbar.

Müßte gesondert konfiguriert werden. Erfordert aber ein meist kostenpflichtiges Zertifikat (wenn man die Warnmeldungen bzw. "massiven Blockaden" vermeiden will).

[pinguin]

Müßte gesondert konfiguriert werden. Erfordert aber ein meist kostenpflichtiges Zertifikat (wenn man die Warnmeldungen bzw. "massiven Blockaden" vermeiden will).

Bitte? Eine vernünftig gebaute Https-Seite wird vom Browser genauso aufgerufen und dargestellt, wie jede einfache Http-Seite. Da braucht gar nix konfiguriert werden. Lediglich das Sicherheitszertifikat erkennt der nicht als gültig an, wenn es selber zertifiziert worden ist und nicht von einer der im Browser hinterlegten Zertifizierungsunternehmen stammt.

[René]

https wird erst eingerichtet werden, nachdem das Forum auf einen neuen Server umgezogen wird. Wann das geschehen wird, kann ich zum heutigen Zeitpunkt nicht sagen. Die Einrichtung erfordert ein Zertifikat, das man kaufen muss. Selbstsignierte Zertifikate kommen nicht infage. Durch ihre Sicherheitsabfragen werden die Leute bloß nur abgeschreck.

Probiert es selbst mit online-boykott.de - da habe ich ein Selbstsigniertes für die Administration, das jeder auch über https nutzen kann.

Wenn es soweit ist, gebe ich euch Bescheid.

[mini]

Müßte gesondert konfiguriert werden. Erfordert aber ein meist kostenpflichtiges Zertifikat (wenn man die Warnmeldungen bzw. "massiven Blockaden" vermeiden will).

Bitte? Eine vernünftig gebaute Https-Seite wird vom Browser genauso aufgerufen und dargestellt, wie jede einfache Http-Seite. Da braucht gar nix konfiguriert werden.

Eine https-Seite muß zunächst einmal serverseitig konfiguriert werden.

Und da kann man "unendlich viel falsch machen".

https://www.trustworthyinternet.org/ssl-pulse/

Es gibt Sites, die werben mit ihrer Verschlüsselung. Der dortige Test, angewandt auf diese Sites, läßt einen die Fußnägel kräuseln.

[René]

Es gibt Sites, die werben mit ihrer Verschlüsselung. Der dortige Test, angewandt auf diese Sites, läßt einen die Fußnägel kräuseln.

Man sollte aber auch den Sinn und das Ökosystem des Einsatzes nicht aus dem Auge Verlierern. Ein als vielleicht zu kurzer Schlüssel gemeldetes Risiko ist sicher keins, wenn die  Seite uninteressant für Hacker ist, denn der Aufwand, sie zu knacken, ist trotzdem erheblich. Um Kiddies von der Nutzung von z. B. wireshark abzuhalten, reicht ein vermeintliches weniger sicheres SSL-Zertifikat.

Das muss aber jeder für sich Entscheiden, wobei die Wissenslücken und das Halbwissen in diesem Bereich sehr umfangreich sind.

[Draco]

Hallo, bin ein stiller Mitleser seit Jahren, und dass die Links unter
gez-boykott.de/Forum/index.php/topic,12292.0.html
nicht funktionieren ist echt schlimm.

Das hat mal funktioniert. Nun aber nicht mehr. Weder unter Windows, noch unter Linux, egal ob Adblocker oder Cookies aktiv oder nicht. Man wird durch die Links nur auf die Hauptseite zurück gesteuert. Finde diese Seite aber extrem wichtig, weil man von dort aus immer wieder bequem zum nächsten Schritt findet, den man einschlagen muss (finde dies besser und übersichtlicher, als tausende Lesezeichen anzulegen). Beispiel: Ich selbst habe meinen Wiederspruch eingereicht und nun nach vielen Wochen ein Antwortschreiben bekommen, wo ich nicht wusste, ob ich darauf die Klage einreichen soll oder nicht. (ist bereits geklärt). Und wäre an den Links fast verzweifelt. 

Habe dann einfach einen anderen belibigen Thread geöffnet und die Nummer durch die der Links ersetzt.

Beispiel:
"Schnelleinstieg"
Zu allererst bitte hier lesen! Schnelleinstieg, "Erste Hilfe", Hinweise...
gez-boykott.de/Forum/index.php/topic,12292.0.html

Diese Form direkt in den Browser eingegeben funktioniert bei mir ausgezeichnet. (Firefox)
Wenn ich diesen Link hier als [url] einfüge gehts aber wieder nicht...

Da muss unbedingt etwas getan werden, weil dies sonst sehr viele Mitlleser unnötig am Wiederstand hindert.

Ansonsten ist der oben genannte Thread, bzw. Linksammlung aber eine klasse Arbeit! Dort fand ich bisher alles was ich brauchte, ohne ziehllos das gesamte Forum durchwühlen zu müssen! 

[teleinvasion]

Auch von mir der Wunsch von https Unterstützung. Bei einer Gebührenzentrale, die problemlos an Wohnorte und Bankkontodaten kommt ohne mein Wissen finde ich das angemessen.
https hat den Vorteil, dass es fast unmöglich ist einen Nickname einer IP Adresse (und damit quasi einer Person) zuzuordnen.

[Sebastian]

Das hat aber mit https nix zu tun. Der einzige Vorteil von https in diesem Forum ist es, dass alles was wir schreiben und insbesondere das EInloggen mittels Passwort verschlüsselt zum Server "gez-boykott.de" versendet wird. Falls René Interesse hat, ich kann ihm die Anleitung für eine SSL Verbindung für den Apache2 schreiben und auch ein Zertifikat besorgen. Das gibt es durch die Mozilla Initiative inzwischen soweit ich weiss auch kostenlos. Einfach PM an mich.

[superschlumpf22]

Zertifikat kostenlos entweder via letsencrypt oder startssl. Bei startssl einmal jährlich im Browser durchklicken, letsencrypt geht automatisch via python oder shell-basierten Client auf dem Server. In Debian GNU/Linux fertig paketiert.

Sichere SSL-Konfiguration:
https://mozilla.github.io/server-side-tls/ssl-config-generator/

Hier sind Abwägungen zwischen Sicherheit und Menge der unterstützten Clients möglich.

Ich helfe ebenfalls gerne.  Bitte einfach PM. Persönlich nutze ich eine sehr starke Konfiguration, derzeit noch mit StartSSL-Zertifikaten, möchte jedoch auf Letsencrypt wechseln.