Umstellung auf Https und TLS1.2

Hallo [MENTION=1]Up[/MENTION] ,
ich hatte das glaube ich zu meiner Moderatorenzeit schon mal angesprochen, aber da hatte sich keiner wirklich zu geäußert.
Wie sieht es mit der Härtung von rappers.in durch eine verschlüsselte Kommunikation aus?

Auch wenn es "nur" ein Projekt ist was betrieben wird, sollte man die Nutzer der Plattform schützen, gerade bei teilweise >10.000 Leuten die online sind.
Viele Firmen (unter anderem auch meine) Stellen ihre Webseiten mittlerweile auf TLS1.2 um während hier nicht mal SSL verwendet wird.
Rappers.in ist auch die einzige Seite ohne https:// die ich kenne. Das kann echt in 2018 nicht sein - auch wenn das alles hier freiwillig ist und so weiter. Ihr habt viele Nutzer, dann schützt sie bitte auch.

Denn im Endeffekt heißt das für jeden Nutzer dieser Plattform: Dein Passwort kann wirklich jeder mitlesen der sich zwischen die Leitung hängt.

So schwer ist das nicht und TrueEncrypt bietet auch kostenlose TLS Zertifikate an, die man dann ein Mal im Jahr verlängern muss was einen Zeitaufwand von 5 Minuten darstellt. CSR erstellen -> abschicken -> Zertifikat downloaden, Einpflegen und gut ist.

Zitat von sqroot

s/trueencrypt/letsencrypt

ja hab es verwechselt

Zitat von Up

Wir hatten 2015 schon mal auf HTTPS / TLS umgestellt, was leider "zu früh" war, da die Werbeanzeigen darüber vor 3 Jahren noch nicht ausgeliefert werden konnten.. also mussten wir schweren Herzens wieder umstellen. Auf einer Plattform wie rappers.in, die über verschiedene Server speziell für Bilder, Musikdaten und Datenbank läuft ist das ein relativ großer Akt und nicht so umkompliziert wie mal eben eine Wordpress-Seite umzustellen. Daher haben wir das für die nächste Version geplant, die ja iiiirgendwann demnächst, bzw. eigentlich lange schon, mal kommen soll. Haben das aber natürlich im Blick. Soo schlimm wie du hier darstellst ist es aber nicht, rappers.in ist ja eine komplett anonymisierte Seite und daher sehr unattraktiv für irgendwelche Third-Party-Angriffe.

Warum sollte es komplizierter sein als zB bei Authentifizierungsservern oder Raritan Power IQs für Rechenzentren ? Die Datenbanken (auf welcher Basis sie sind) müssen natürlich auch umgestellt werden wegen der Abhängigkeiten aber soooo viel aufwand ist das auch wieder nicht.
Ich denke mittlerweile sollte jeder Client TLS1.2 können oder zumindest 1.0. hier wird aber gar keine Verschlüsselung benutzt (ende zu ende übers internet).

Klar ist r.in erstmal unattraktiv für solche Leute, aber es ist auch nicht so harmlos wie du es darstellst. Es gibt sicherlich viele Leute hier die überall das gleiche Passwort benutzen. Klar sollte man das nicht aber davon abgesehen schicken diese Leute ihre Passwörter Plain über das Internet (du kannst eben dann nicht wissen wer wo zwischen hängt). Da man heutzutage auch viel über Paypal und sowas macht haben die Angreifer dann auch vielleicht das Passwort. Ist halt einfach eine Frage wie kritisch man was darstellt. Aber ich bin froh, dass es in Planung ist - mehr wollte ich doch gar nicht