Pred slabim mesecem dni smo vprašali vaše mnenje o HTTPS v DesdeLinux. Zahvale gredo peterški V blogu je več kot teden dni omogočen HTTPS, torej lahko dostopajo https://blog.desdelinux.net in strežnik se bo odzval.
Razlogi za razmišljanje o HTTPS, o katerem smo že govorili, so v bistvu:
- Google bo v prihodnosti razmislil o spletnih mestih HTTPS za SEO.
- HTTPS je šifriranje informacij, kar pomeni večjo varnost vaših in naših podatkov.
Kot lahko vidite, nam je na vsak način v korist, da pravilno izvajamo HTTPS na naših spletnih mestih.
Glede SEO in GooglaRes je, da Google NE bo takoj povezal vašega PageRanka s HTTPS, vendar bo to nekaj, kar bo v prihodnosti imelo neposreden odnos, kar bo vplivalo na naš SEO. Trenutno lahko z orodji preverimo svoj SEO, nekaj celo preizkušam Aplikacije za pozicioniranje SEO na voljo, ki ima lahko različico za Android, no, v prihodnosti bo izvajanje HTTPS eden od parametrov, ki ga je treba izmeriti.
Glede informacijske varnostiOčitno je, da prijave (uporabnik in geslo), ki v omrežju krožijo v navadnem besedilu, niso najbolj priporočljive, kdorkoli z dvema prstoma čela bi lahko ujel geslo in ... naredi, kar mu domišljija omogoča 🙂
HTTPS vklopljen DesdeLinux
Kot sem že rekel, če se strinjajo https://blog.desdelinux.net Naš strežnik se bo nanje odzval, njihov brskalnik jim bo pokazal, da spletnemu mestu ni zaupano in podobno ... ker nismo plačali, da bi podjetje podpisalo naše potrdilo kot "veljavno". Preprosto morajo klikniti na Download / Get Certificate in nato na Approve it, kar jim bo dovolj za dostop do spletnega mesta.
Zahvaljujoč se peterški Imamo potrdilo, ki smo ga ustvarili sami, kajti kdor jih piše, ve za strežnike in druge, ampak ... hehe, nikoli nisem imel dela s SSL-jem, zato priporočam, da naš CA prenesete in uvozite v brskalnik.
Ko ga želite dodati tukaj:
- Odprite Firefox
- Obiščite nastavitve o Konfiguracija
- Pojdimo na razdelek Avanzado, še posebej zavihek Certifikati
- Kliknemo na gumb uvoziti in iščemo datoteko, ki smo jo pravkar prenesli, in to je to.
Tu je posnetek zaslona:
Ko je potrdilo dodano v brskalnik, bomo lahko dostopali do spletnega dnevnika prek HTTPS, ne da bi se prikazal opozorilni znak 😉
In kaj je zdaj?
Za zdaj testiramo HTTPS, da je blog tam dobro prikazan in preverjamo, ali je vse v redu. Torej, kakršna koli napaka ... sporočite 😉
Nato nekaj, kar nameravamo storiti, je, da bo WP-Admin obvezen za uporabo prek HTTPS-a, ker je prva stvar, ki jo moramo zaščititi, uporabnik in geslo vseh nas, za to je dovolj, da v wp dodamo vrstico -config.php za WordPress.
To bo (mogoče) naslednji korak.
No nič, za trenutek ga bom pustil tam. Čakam na povratne informacije, da vidim, ali vse deluje tako, kot naj bi funkcioniralo
PD: Blog še naprej deluje prek HTTP in HTTPS, ne skrbite 😉
Izvajanje testiranja, medtem pa srečno, da nič ne pade.
1) če želite to narediti v Chromu, pojdite na nastavitve, prikažite napredne možnosti, upravljajte certifikate, zavihek organov izdaje, uvozite, izberite potrdilo in to je to.
2) Mislim, da me opominja, da prijava v wordpress ne uspe, ker po prijavi (in vstopu na ploščo) vstopim v spletni dnevnik in se odjavim.
prijava je opravljena. ne skrbi.
V mojem primeru uporabljam krom, ali me prosi za geslo, ki je bilo uporabljeno za šifriranje potrdila ??? nekaj zelo čudnega, kar me to vpraša.
V primeru firefoxa je bil uspešno uvožen.
Nekaj pomoči ??
Živjo NauTiluS, pravkar sem ga preizkusil na Chromium 36 in najnovejšem Chromu 37 in ni nobenih težav.
je na zavihku izdajateljev, ne v vaših potrdilih
Imam jih 37 in tu mi je povzročil to težavo
Pozabil sem, dajem vam videoposnetek, ki sem ga posnel s koraki, ki jih naredim, in komentiranim neuspehom.
Tukaj vam bom dal video z vsemi koraki.
https://vimeo.com/105256304
ps: prosim kakšnega moderatorja, da izbriše prejšnji komentar, ker je bila tipka enter pritisnjena pomotoma.
Potrdilo mora biti uvoženo v zavihek z imenom Organi in ne v potrdilih, kot v vašem videoposnetku. Kliknite zavihek z imenom Organi :).
Pripravljen petercheco.
Prvič to počnem v kromu!
HTTPS v blogu je absurden, večina ljudi dostopa do spletnih dnevnikov samo zato, da jih prebere, za dostop do prijave pa ni nič drugega kot uporabniško ime, geslo in e-pošta. Po drugi strani pa me to počne, ker Google določa, da se kar bojim, saj že takrat navajamo razlog, da je Google vlada interneta in kdor ne gre skozi njegov obroč, ostane za seboj. Prav tako se napačno razlaga sprememba Googlovega algoritma, saj ne piše, da morajo biti vsa spletna mesta HTTPS, ampak če bodo dala prednost vsebini, ki jo je treba šifrirati proti vsebini, ki ni (na primer trgi ali spletna mesta, kjer se obdelujejo podatki kreditne kartice ali osebni podatki). To je kot varnostni sistem zelo dober in strinjam se, da Google to počne, zdaj pa nam za preprosto spletno mesto z javnimi informacijami ni treba porabiti 30 USD na leto za potrdilo in domeno.
Upam, da imate v mislih, da spletno mesto s samopodpisanim potrdilom kaznuje Google, saj se bodo pojavila opozorila, da je spletno mesto nevarno in se vsi ne bodo trudili dodati potrdila v svoj brskalnik.
Pozdrav.
Zanimiv komentar. Osebno ne podpiram https in dali ste mi dober razlog, da ponovno potrdim svoje stališče.
... zakaj Google to določa ?, ... malo po malo google monopol ujame GNU / Linux v svojo merkantilistično past, njegovi uporabniki pa bodo prepuščeni na milost in nemilost svojim temnim trženjskim interesom. Ne zavedajo se, da želi ta monopol Google dati v zasebnost ljudem, ki sploh zahtevajo telefonsko številko s kakšnim namenom? ... Da bi spremljali in vedeli vse, kar počnete. Zdaj na teh forumih ne boste mogli več prosto komentirati ... .če niste registrirani na tej strani? ... In vse, zakaj? ... Ker Google tako pošilja.
Mislim, da preveč pretiravamo ...
ki jih ne bo mogoče prosto komentirati DesdeLinux? …da ne moreš komentirati, če nisi registriran? … to nima nič, ponavljam, NIČ skupnega z Googlom ali katerim koli drugim podjetjem, to bi bili ukrepi, ki bi bili, če bi bili uporabljeni (čeprav ne vidim razloga za to), naša odločitev, ne odločitev drugih.
HTTPS ni v lasti Googla daleč od njega, je preprosto HTTP, vendar informacije potujejo šifrirano (zaščiteno) po omrežju, nič več.
HTTPS se ne postavlja, še vedno mislim, da so prijavni podatki, ki potujejo v navadnem besedilu, LOŠA, ZELO LOŠA ideja.
To, kar hekerja z napadom na MITM ve, da berem blog, da lahko sam dostopa z istim naslovom, s katerega imam dostop, je tisto, kar me najmanj skrbi, zato ponovno potrjujem, da ne smejo imeti vsa spletna mesta nujno HTTPS in verjamem da je Googlovo stališče dati prednost šifrirani vsebini, katere promet občutljivih podatkov je večji od prometa javne vidljivosti.
Zdaj ne vidim dobro, da bi morali plačevati X letno za potrdilo in za tiste, ki upravljajo domensko dovoljenje, toda tisti, ki imamo več kot 3 registrirane domene, je strošek, ki si ga nikakor ne moremo privoščiti.
To ne drži povsem, zlasti v primerih, ko so uporabniki dovolj "nedolžni", da v svojem e-poštnem sporočilu uporabljajo isto geslo. 🙂
Objem! Paul.
Delim vaše stališče @usemoslinux, mnogi "nedolžni" uporabniki imajo slabo navado, da uporabljajo skoraj isto uporabniško ime in geslo za skoraj vse, kar počnejo v internetu, ne da bi razumeli tveganje, ki to pomeni za njihovo zasebnost.
Če govorimo o vprašanju zasebnosti, se https ne izvaja samo zaradi varnosti, temveč tudi zato, da uporabniku omogoči višjo raven zasebnosti, kar je pozitivno s katerega koli vidika, ne da bi bilo treba vnašati druge zahteve to vprašanje.
Se strinjam z obema :).
Uporaba HTTPS je vedno pozitivna, vendar tudi ne gre zapravljati denarja. Uporabljajte ga le tam, kjer je resnično potrebno. Za uporabnike, ki uporabljajo isto geslo na vseh spletnih mestih, je kot izdelati 50 kopij hišnega ključa in jih vreči ven na ulico, dokler nekdo ne ve, kje živite, se zgodi nesreča in morate zamenjati kegljo, vendar ne nimam ključavničarja, ki ve, da to počnem, in mi da kopijo. Če ljudje niso previdni s svojimi občutljivimi podatki, zakaj bi jim morali pomagati, če ne jemljejo resno nečesa, kar bi morali obravnavati zdravo pametno. Slednje se sliši zelo okrutno, vendar sem se vsaj naučil iz nesreč in celo z veliko informacijami o tem, kako naj ravnamo s svojimi podatki, večina od njih ne jemlje resno, kako naj ravna s podatki.
V mojem primeru porabim 30 evrov na leto več za zaščito ljudi pred nečim, česar ne bi smeli početi iz zdrave pameti, ne dobim nič dobičkonosnega.
Potrdilo je nepravilno nameščeno ...
http://www.sslshopper.com/ssl-checker.html#hostname=blog.desdelinux.net
Ja, prav imaš, nekaj ni v redu ..
Potrdilo ni nameščeno nepravilno .. Vse je pravilno. Na tej strani je zapisano, da ne gre za potrdilo, ki ga je podpisal kateri koli glavni organ za potrjevanje.
DESDELINUX.NET ima svoj CA :).
Navaja tudi, da je to pravi strežnik s pravilnim ip:
blog.desdelinux.net = 69.61.93.35
Kar daje varnost uporabnikom, da je strežnik. desdelinux.net, kot je prikazano v konfiguraciji DNS domene.
In tudi Firefox / Iceweasel mi olajša razumevanje.
https://filippo.io/Heartbleed/#blog.desdelinux.net
Pozdravljeni Franco
Povem vam enako kot @Mstaaravin .. Na tej strani piše, da to ni potrdilo, ki ga je podpisal kateri koli glavni organ za potrjevanje
V nobenem primeru ga Heartbleed ne prizadene.
Majhen popravek na strežniku in mi ne kaže več ranljivosti, hvala za informacije.
Hej, zakaj ga ne podpišeš s CAcert? tako da nam vsem, ki smo uvozili potrdila CAcert, ne bi bilo treba narediti izjeme za vaše potrdilo in bi samodejno vstopilo v spletni dnevnik 😉
Kako čudno je, ko se poskušaš registrirati v CAcertu, dobiš stran, da to ni veljavno potrdilo hahahaha
Tam si ga pribil Elav hahahaha
Se opravičujem .. namesto prikovan .. pribit ..
že imate točke v CAcertu? če vas nihče ni odobril, mislim, da vam ne bodo dovolili nalaganja potrdila = /
Ni privzeto v brskalnikih, vendar je CAcert globalno priznana entiteta in ljudje, kot sem jaz, mu zaupajo in uvažajo potrdila CAcert. Tako, če blog desdelinux Certificiral ga je CAcert, zato verjamem, da je njegov SSL certifikat veljaven in da mi ni treba uvažati neodvisnih certifikatov 😉
Ne vem, če te je kdaj certificiral CAcert, ampak postopek je tak, da te mora certificirati vsaj 5 ljudi (približno), vsak pa preveri približno 3 identifikacije. CAcertu zelo zaupam.. glede certifikata desdelinux, tudi jaz verjamem, ampak ti bom dal primer, kako naj vem, da potrdila ni pred eno uro spremenil nek kreker, jaz pa sprejemam lažno potrdilo že od začetka? Mislim, da se to ni zgodilo, samo pravim, da CAcert nekoliko poveča vašo samozavest.
Točno v tem je težava, našega potrdila ne moremo naložiti 😀
Nam lahko kdo pomaga?
Smiselno je ustvariti potrdilo, podpisano s strani CAcert, saj to pooblastilo privzeto ni vključeno v spletne brskalnike.
To je enako kot sam CA desdelinux.net
Za tiste, ki mi ne verjamejo: http://es.wikipedia.org/wiki/CAcert.org
Smešno je, kar praviš @biker.. Ali zaupaš CAcertu, ne zaupaš pa certifikatu in lastnemu CA, ki ga je izdal Desde Linux?
Tudi @biker, ne pozabite, da google spletno mesto uporablja tudi potrdilo, ki so ga izdali oni (google Inc) .. Ali mu zaupate? Ker je enako .. Razlika je v tem, da so stopili v stik z razvijalci glavnih spletnih brskalnikov in so v svoje brskalnike privzeto vključili svoje potrdilo CA.
Lahko storite enako desdelinux.mreža..
Poglejmo @biker,
Po eni strani razumem, kaj govorite, po drugi strani pa ravno zato, da bi hekerju preprečili spremembo spletne strani desdelinux.net na drugo lokacijo z drugim potrdilom, dobite CA za prenos desdelinux.net, v katerega uvozite in s katerim so podpisani vsi certifikati, ki se nahajajo na strežniku. desdelinux..Če nekdo odjavi dejanski strežnik desdelinux.net in vašemu vsili drugačno potrdilo od tistega, ki bo ustvarjeno, tega ne bo podpisal pravi organ desdelinux.net in v brskalniku boste dobili sporočilo, da strežniško potrdilo ne ustreza potrdilom, ki jih je podpisal originalni CA.
Nemogoče je, da bi se kaj zgodilo .. Zato sem ustvaril potrdilo strežnika in overitelja potrdil, ki ju podpiše, in nisem neposredno uporabil samopodpisanega potrdila, ker bi bilo to nevarno :).
Živjo. Zelo dobra novica. S samopodpisanimi certifikati je to kar nekaj. Sodelujem z openvpn in za potrdila uporabljam ssl in ni težav. Toda za spletne strani ja, ker če nimajo enakih, ki jih je oblikovalo podjetje na terenu, je slabše kot, če ne uporabljajo ssl. In to vprašanje certifikatov je sranje, saj vam zanje zaračunajo lokute.
Če vstopite v splet s pomočjo HTTPS, pri vnosu katerega koli članka ta protokol ne vzdržuje, zahteva za vhod pa uporablja HTTP. Daj no, nekatere povezave ne vzdržujejo protokola (v spletnem meniju z glavo drži)
Ja res, tega še vedno manjka, ker morate spremeniti zanko ali kaj podobnega v jedru WordPressa ali pa je vsaj to prva rešitev, ki jo najdem 🙂
Čestitamo KZKG ^ Gaara za opravljeno delo in upam, da se bo vse dobro izšlo in da boste imeli malo poročil. Brskal sem po spletnem dnevniku s pomočjo https in nisem videl ničesar, kar bi moral prijaviti: D.
Glede potrdila o desdelinux.net.. Potrdilo desdelinux.net ni samopodpisan, ampak ga podpiše varnostni organ (CA). desdelinux.mreža..
Zato ta blog ponuja prenos te avtoritete ..
Kot organ CAcert, o katerem govori @biker .. Mislim, da ni težav pri uvozu potrdila v brskalnik, ki ga imajo fantje in deklice ..: D.
Z moje strani je dobro zaščititi komunikacijo med odjemalcem in strežnikom tako, da jo šifriramo.
Hvala za pomoč.
Upajmo, da bomo rešili podrobnosti, ki so še vedno 🙂
Vabljeni, KZKG ^ Gaara. Vesel sem, da lahko malo pomagam :).
Testiranje in poteka gladko.
Poročanje iz Underworld-a: No, ko sem dostopal prek https-a, sem dobil varnost tega potrdila, nato sem dal Download CA, ki ga je ustvaril petercheco, dobil oznako, kjer sem se spraševal, ali dovoljuje namestitev tega potrdila za dostop do spletnega mesta, prejemal sporočila od njega itd., vse sem sprejel in preko https-a odlično vstopil v blog. Rezultati: Edina slaba stvar zame je, kot sem pričakoval, da se nalaganje strani nekoliko upočasni, toda hej, to ni kot rezanje zapestja, če se mi mudi, potem dostopam prek http, pika . Cenimo vsa prizadevanja na področju varnosti.
Že zdaj me nalaga hitreje, od tu je šlo samo za problem širokopasovne hitrosti ... iz podzemlja.
Deluje odlično, toda pri dostopu do člankov in premikanju med stranmi, ki jih privzeto uporablja http, obstaja način, da vedno uporabimo https?
Se strinjam, isto se dogaja tudi meni.
Napaka mi je in ni zato, ker ni od priznanega organa za potrjevanje
Tehnični podatki:
blog.desdelinux.net uporablja neveljavno varnostno potrdilo. Potrdilo ni zaupanja vredno, ker ni bila podana veriga izdajatelja. (Koda napake: sec_error_unknown_issuer)
Sprašujem se: če potrdila ne podpiše priznana varnostna enota, ne bi bilo lažje (vsaj v Firefoxu) preprosto vstopiti na spletno mesto prek https in ko se prikaže opozorilo, trajno shraniti potrdilo, kot je običajno pri vseh samopodpisano potrdilo?
No, v Firefoxu lahko naredite trajno izjemo, vendar v IE mislim, da ne. Bolje je, da vsak pooblastilo uvozi v svoj brskalnik in to je to.
Zame se je izkazalo tako.
Pozdravljeni, vem, da to ni kraj za mojo težavo, vendar imam težavo, mi lahko pomagate. Preizkušam z Elementary Os, pravkar sem namestil lastniški gonilnik Nvidia, ki pravi (Priporočeno). Odkar sem to naredil, me sistem zažene neposredno, kot da bi bil v terminalu, torej ne naloži grafičnega vidika. Ko vstopim z drugo možnostjo (način obnovitve) in izberem možnost nadaljevanja običajnega odboja, če dvigne grafični del. Odslej mi je žal, ker sem to objavil tukaj in upam, da mi lahko pomagate. Na zdravje
Nekdo, ki me bo vodil:
Potrdilo sem uspel namestiti tako v Firefox kot v Qupzilla. Toda zdaj, ko sem ponovno namestil Maxthon, nisem ugotovil, kako naj namestim potrdilo. Nekdo, ki je uspel?
Hvala
Pravkar sem poskusil, vendar očitno, čeprav temelji na Chromu, nima takšnih možnosti.
Radoveden namig ... Torej nimajo skrbnika za wordpress s https? Hmmm Videti je kot hekerska restavracija ... Priporočam «Varnost za lutke» 😛
Willians, ker obstaja zaupanje in se poznamo že leta, vam bom jasno povedal, lahko dobite nekonstruktivno kritiko ... veste kje.
Da se jebeš in mučiš še en del ¬_¬
Ne da bi se pretvarjal, da sodim v tekmovanje v slovarskem prekršku, da bi mi morali verjeti, ko vam rečem, da imate vse za izgubiti, vam predlagam, da presežete posmeh mojim besedam - ali konici nosu.
V njih obstaja ideja, da sem, privlačen za vaš intelekt (zagotovo sem se motil, žal mi je, ker sem vas precenil), domneval, da se boste lahko asimilirali dovolj konstruktivno in ne s perretiko / katarzo 9-letnega -stari otrok, s katerim ste se domnevali.
Če pustimo podporo družbenemu nesporazumu in če še vedno berete te vrstice (mogoče sem vas spet precenil in prav zdaj grizete brisačo v načinu Anger Management), vam povem kot povzetek mojega Čudno se mi zdi, da nekdo, ki je napisal toliko objav v zvezi z varnostjo v sistemih, ne glede na to, ali so spletne ali katere koli druge vrste, trdi - po nekaj letih, odkar je desdelinux- skrbniški vmesnik spletnega dnevnika z navadnim http.
Nikoli nisem vprašal in resnica je, da me ni zanimalo izvedeti, vendar sem vedno domneval, da je skrbnik desdelinux Deloval je - kot primarni varnostni ukrep - prek https (in ne kot možnost, vendar ne kot MOŽNOST).
Nič, minilo bo. Trenutno vse to jemlje kot en sam prispevek več. Prihranite brus "nekonstruktivne kritike" za tiste, ki si to resnično zaslužijo.
Vaš partner je še vedno Willians
Zelo zanimivo, z veseljem sem brala. Po tolikem številu komentarjev ni lahko kaj dodati, vendar se poraja vprašanje.
Od trenutka, ko uporabniki obiščejo, komentirajo itd. Na drugih spletnih mestih je vaša varnost še vedno izpostavljena. Iz tega razloga ne vidim uporabnosti, razen če so omejeni le na DesdeLinux.
Lep pozdrav.
StartSSL daje veljavne certifikate, kot so plačana podjetja, vendar popolnoma brezplačno 🙂
Zaenkrat se zdi, da deluje v redu. To je dober začetek.
Niso poskusili z https://www.startssl.com/ ponuja brezplačna potrdila, druga dobra možnost je https://www.cacert.org/, pred dnevi sem prebral to objavo https://www.sslshopper.com/article-free-ssl-certificates-from-a-free-certificate-authority.html