SSL auf dem Server?

TomZZZZ

TomZZZZ

macht Rennlizenz
Registriert
16 März 2013
Ort
Köln
Wagen
BMW Z4 e89 sDrive23i
Im Rahmen der aktuellen "Poodle SSL Vulnerability" Diskussion, hab ich mal den zroadster Server gecheckt. Ergebnis: Angreifbar. Er lässt sich auf die alten SSLv3 Verbindungen ein, die seit heute als hoch kritisch eingestuft werden.

Relevant scheint das aber momentan nicht zu sein, da die Seiten ja rein plain ausgegeben werden. Ist hier eigentlich https irgendwann mal vorgesehen?

Mich würde es freuen :t

Zum fixen im Apache einfach unter /etc/apache2/mods-available/ssl.conf die Zeilen

# enable SSLv3 and all available TLSv1 flavors, but not SSLv2
SSLProtocol All -SSLv2

in

# all available TLSv1 flavors, but not SSLv2 and SSLv3
SSLProtocol All -SSLv2 -SSLv3

abändern und reloaden/restarten.

Ansonsten für generellen SSL Support mal ein Zertifikat besorgen, StartSSL hat für die Dauer von 1 Jahr sogar kostenlose.

Cheers Tom
 
Nach Datum sortieren Nach Stimmen sortieren
... ich auch! Das heißt - nein, ich verstehe außer "Bahnhof" noch "Kofferklauen". :w

Aber ich finde gut, dass hier jemand mitdenkt und nicht nur sagt: "Man müsste mal ...", sondern ganz konkrete Vorschläge macht, mit welchen Statements (einschließlich Syntax) man die Sicherheitslage des Servers grundsätzlich verbessern kann.:t
 
Positive Stimme 0 Negative Stimme
Na Bahnhof ist doch schon mal gut.

Stellt euch vor, zroadster.com ist ein Bahnhof. Es gibt jede Menge Gleise und Züge (Verbindungen, z.B. Ihr loggt euch mit Usernamen und Passwort ein). Der Zug in dem ihr sitzt ist quasi ein offener Güterwagon, jeder der möchte, kann euch dabei beobachten was Ihr auf diesem Wagon macht, welche Passworte ihr übermittelt, mit wem ihr euch unterhaltet und welche Kontodaten und Telefonnummern hier bei den Unterhaltungen ausgetauscht werden - man braucht nur neben dem Gleis zu stehen und zuzuschauen.

Nun gibt es SSL (das ist aktiviert, sobald oben in der Adresszeile ein httpS davor steht). Die Daten werden hiermit verschlüsselt und ihr sitzt schonmal in einem Regionalexpress, man kann nur durch die Fenster reinschauen, aber es macht schon mehr Mühe zu erkennen, mit wem Ihr euch unterhaltet und was Ihr so austauscht. Besser als gar nix, aber immer noch möglich (SSL Version 3). Man dachte bisher es sei sicher genug, da der Zug eh schnell genug durchrast und man nichts erkennen kann, aber es gibt mittlerweile Methoden auch hier mitzulesen.

Seit gestern wird daher empfohlen auf die besseren Varianten von TLS zu setzen (Geschlossene Züge) und keine unsicheren Züge mehr in den Bahnhof zu lassen, benutzt eh kaum noch einer.

Mir ist bewusst, dass zroadster größtenteils öffentlich ist und damit es shit egal ist ob jemand überhaupt verschlüsselt unterwegs ist. Bei Unterhaltungen und Austausch von Kontoinfos und so halte ich das aber dennoch für sinnvoll, zumal es quasi nichts kostet - außer den Aufwand es einzurichten. Es gibt keinen Grund das nicht abzusichern - außer aus Bequemlichkeit - daher die Frage ;) Bei Facebook oder Amazon wäre jetzt ein Shitstorm los gegangen, wenn man festgestellt hätte, dass das dort möglich ist.

Das war jetzt extremst abstrakt dargestellt :D
 
Zuletzt bearbeitet:
Positive Stimme 0 Negative Stimme
TomZZZZ schrieb:
Na Bahnhof ist doch schon mal gut.

Stellt euch vor, zroadster.com ist ein Bahnhof. Es gibt jede Menge Gleise und Züge (Verbindungen, z.B. Ihr loggt euch mit Usernamen uns Passwort ein). Der Zug in dem ihr sitzt ist quasi ein offener Güterwagon, jeder der möchte, kann euch dabei beobachten was Ihr auf diesem Wagon macht, welche Passworte ihr übermittelt, mit wem ihr euch unterhaltet, und welche Kontodaten und Telefonnummern hier bei den Unterhaltungen ausgetauscht werden - mach braucht nur neben dem Gleis zu stehen und zuzuschauen.

Nun gibt es SSL (das ist aktiviert, sobald oben in der Adresszeile ein httpS davor steht). Die Daten werden hiermit verschlüsselt und ihr sitzt schonmal in einem Regionalexpress, man kann nur durch die Fenster reinschauen, aber es macht schon mehr Mühe zu erkennen, mit wem Ihr euch unterhaltet und was Ihr so austauscht. Besser als gar nix, aber immer noch möglich (SSL Version 3). Man dachte bisher es sei sicher genug, da der Zug eh schnell genug durchrast und man nichts erkennen kann, aber es gibt mittlerweile Methoden auch hier mitzulesen.

Seit gestern wird daher empfohlen auf die besseren Varianten von TLS zu setzen (Geschlossene Züge) und keine unsicheren Züge mehr in den Bahnhof zu lassen, benutzt eh kaum noch einer.

Mir ist bewusst, dass zroadster größtenteils öffentlich ist und damit es shit egal ist ob jemand überhaupt verschlüsselt unterwegs ist. Bei Unterhaltungen und Austausch von Kontoinfos und so halte ich das aber dennoch für sinnvoll, zumal es quasi nichts kostet - außer den Aufwand es einzurichten. Es gibt keinen Grund das nicht abzusichern - außer aus Bequemlichkeit - daher die Frage ;) Bei Facebook oder Amazon wäre jetzt ein Shitstorm los gegangen, wenn man festgestellt hätte, dass das dort möglich ist.

Das war jetzt extremst abstrakt dargestellt :D
Zum Vergrößern anklicken....

schön erklärt! Mann vom Fach :12thumbsu
 
Positive Stimme 0 Negative Stimme
Danke für die Erklärung!

Wenn ich das richtig verstehe, dann setzt der Sinn bereits ein, wenn ich bei der Anmeldung mein Passwort übermittle. Bei privaten Nachrichten setzt es sich dann fort.
Erscheint mir gut, zumal wenn es ohne großen Aufwand machbar ist.
 
Positive Stimme 0 Negative Stimme
Elias schrieb:
Wenn ich das richtig verstehe, dann setzt der Sinn bereits ein, wenn ich bei der Anmeldung mein Passwort übermittle. Bei privaten Nachrichten setzt es sich dann fort.
Zum Vergrößern anklicken....

Ganz genau! Geh mal auf ebay.de oder amazon.de, klick rum und alles ist normal aber achte oben auf das Icon vor der Adresse in der Adressleiste. Sobald du dort auf Login klickst, wirst du direkt auf https:// geleitet. Bei den ganz coolen wird das Icon dann noch grün.
 
Positive Stimme 0 Negative Stimme
TomZZZZ schrieb:
Im Rahmen der aktuellen "Poodle SSL Vulnerability" Diskussion, hab ich mal den zroadster Server gecheckt. Ergebnis: Angreifbar. Er lässt sich auf die alten SSLv3 Verbindungen ein, die seit heute als hoch kritisch eingestuft werden.

Relevant scheint das aber momentan nicht zu sein, da die Seiten ja rein plain ausgegeben werden. Ist hier eigentlich https irgendwann mal vorgesehen?

Mich würde es freuen :t
Zum Vergrößern anklicken....

Wozu braucht's denn hier SSL?!?

Und da kein SSL zum Tragen kommt, kann auch kein Poodle-Angriff entstehen ...

Oder mit dem Bahnhof erklärt: Is doch egal wer da wo an einem Gleis steht und zuschaut, wenn keine Züge durch den SSL-Bahnhof fahren sondern die Daten mit der Postkutsche am Bahnhof vorbei transportiert werden.


... und mal ehrlich, was kann an einer Bankverbindung schon Schlimmes dran sein?

Hier mal eine IBAN und BIC: DE65290500001070522007 + BRLADE22 ... und nu? Willste das Konto mit Geld zuspammen? Nur zu :d

Wieviel Langeweile muss jemand haben, der hier ernsthaft auf den Server einsteigt und PNs durchforstet?
 
Positive Stimme 0 Negative Stimme
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben Unten