2015: Dags att börja använda HTTPS

Hej 99mac.

Jag har inte reflekterat över det förut - men er site använder inte HTTPs för inloggning. I de allra flesta fall innebär detta att lösenord skickas i klartext över internet. Bestämde mig för att sniffa trafiken mellan min webbläsare och er och mycket riktigt - er site skickar lösenordet i klartext när jag loggar in.

Det är nu år 2015. IT-säkerhet har varit mycket i medierna och framförallt då rörande okrypterade lösenord i databaser och att skicka lösenord i klartext. Är det inte dags att skaffa ett cert och slå på https för siten? Förutsatt att ni inte har en allt för avancerad cachestruktur bör det inte vara svårt att genomföra.

/hansfilipelo

Här är för övrigt ett otroligt bra projekt som hjälper er i frågan, förutsatt att ni kör Apache eller nginx på Linux:

https://letsencrypt.org/

Kanon, tack för svar!

Problemet med tredjepartsmaterial skulle kunna lösas genom att ha en separat inloggningssida utan annonser.

Att någon får tag i mitt sessions-ID på 99mac gör att de kan få access till mitt 99mac-konto och även ändra lösenord på detta - men däremot inte till mitt lösenord. Sessions-ID är alltså absolut inte lika kritiskt som lösenordet.

Att inloggningssidan är https ger dessutom ett skydd bara som sådant i att användaren kan se att siten skickas över https och att identiteten därmed är verifierad, och inte ge ut sitt lösenord i annat fall. Man kan också påpeka att 99mac:s inloggning sker över https med verifierad identitet på själva inloggningssidan, för att ytterligare uppmärksamma att de ej ska ge ut sitt lösenord till en site som inte nyttjar https och därmed inte verifierar sig som 99mac.se.

---------------

Allt ovan är rimligen ganska enkla åtgärder och jag kan tycka det är synd att en teknikinriktad som 99mac inte prioriterat den här frågan högre än att annonsera på inloggningssidan.

---------------

För egen del har jag genererade lösenord för alla tjänster och siter, men för de som inte har detta (läs merparten av era användare) är det av yttersta vikt att överföringen av lösenordet är krypterad.

Visste inte att ni hämtade mer material från andra siter än annonser, av ren nyfikenhet från min sida - vad är det för material?

Som du säger - kan man vid normal inloggning uppmärksamma användaren på hur det ska vara så upptäcker förhoppningsvis många att saker inte står rätt till.

Ingen personlig kritik - som admin vet jag av erfarenhet att man brukar vara först att lyfta de här frågorna. Det mer att jag tycker många organisationer tar för lätt på säkerhetsfrågorna och säger att "man varit tvungen att prioritera annat" - detta samtidigt som man haft tid att lansera en ny version av siten utan att bättra säkerheten kring lösenordshanteringen.

Om din chef bett dig lösa den här frågan istället för att implementera nya funktioner är jag övertygad att du gjort just det. Skickar man lösenord i klartext ska användarna (jag exempelvis) helt klart ifrågasätta det, för nämn en funktion ni arbetar på i dagsläget som är viktigare?

Korrekt confad webbserver med ett giltigt cert garanterar serverns identitet och skickar data krypterat (sen om den är hackad är det en annan sak). Övriga sidöverföringar skickar inte lösenordet (vilket vi redan tagit upp) så det är att jämföra äpplen och päron. Du måste inte ladda de sidorna över https.

Är ni mindre än en person i organisationen?

Jag arbetar vid Linköpings Universitet på 25% tillsammans med en annan (vanligtvis två andra, men en annan har nu gått vidare och vi söker en till), detta vid sidan av våra studier (civ ing). Vi driftar system med 3100 användare, 40-tal klienter och ett 10-tal webbtjänster och vi har löst den här frågan vid våra inloggningar och har, så länge jag vet, aldrig lagrat lösenord i klartext. Jag vet att er organisation är större än vår. Bara ni som syns utåt i forumen på 99mac och SweClockers är fler än så.

Nu jämför jag såklart äpplen och päron men det jag vill säga är bara för att organisationen är liten är inte det en ursäkt till att skicka lösenord okrypterat när man har tusentals användare som använder tjänsten.

Jag menar verkligen inte att låta arg eller sur i tonen, jag försöker bara lyfta en fråga som är relevant för en stor mängd människor, i ett forum jag surfat till i över ett decennium

Tillräckligt för vad? I min värld är det tillräckligt för att förhindra att lösenord läcker ut, såvida användaren är rätt informerad om att inloggning till 99mac sker via en server vars identitet garanteras av en rotcertifikatutfärdare (sen om användaren anger sitt lösenord på en site som inte är det - fine, ni gjorde vad ni kunde). Ni skickar troligen inte lösenordet i andra skeden än vid inloggningen.

Access till konto är ju som bekant != access till lösenord.

Jag har inte missförstått dig, jag bara argumenterar för att antalet användare är det som är relevant i det här fallet, mer relevant än storleken på organisationen. Ni som organisation kan välja och har fortfarande valt vad ni vill prioritera i form av funktion kontra säkerhet.

Väl medveten Ida. Jag använde bara ett exempel för att påvisa att organisationens storlek inte är relevant här - utan användarantalet.

edit: Förtydligade tredje stycket.

Är intresserad av svar i den här fårgeställningen. Jag kan inte tänka mig ett annat tillfälle som användarens lösenord äventyras annat än vid inloggningen.

Jag skulle vilja lyfta den här frågan igen. Det känns inte ansvarsfullt att tusentals användares lösenord skickas i klartext, och särskilt då ingen förklaring till varför det är så ges.

Det som länkas är en förklaring till att sessions-id (ofta kallat token) fortfarande kommer överföras via HTTP (antagligen i varje request). Det här är sub-optimalt men som jag tidigare påpekat är det långt mycket mer kritiskt att skydda lösenordet - eftersom många användare har samma lösenord hos flera tjänster.

Jag skulle vilja ha en förklaring till en av följande frågor:

• Varför kan ni inte skydda lösenordet med hjälp av HTTPS?

• Om det är möjligt att skydda lösenordet med HTTPS, vilket det antagligen är - vad har ni gjort sedan jag öppnade tråden som har högre prioritet?

Nu är vi där.