Första stegen för HTTPS i FromLinux

För mindre än en månad sedan vi frågade din åsikt om HTTPS i DesdeLinux. Tack vare Petercheco I mer än en vecka har bloggen HTTPS aktiverat, det vill säga de kan komma åt https://blog.desdelinux.net och servern kommer att svara.

Anledningarna till att tänka på HTTPS som vi pratade om tidigare är i grund och botten:

  1. Google kommer att överväga HTTPS-webbplatser för SEO i framtiden.
  2. HTTPS är informationskryptering, vilket översätter till större säkerhet för din information och vår.

Som du kan se är det en punkt till vår fördel på alla sätt att korrekt implementera HTTPS på våra webbplatser.

När det gäller SEO och GoogleÄven om det är sant att Google INTE omedelbart associerar din PageRank med HTTPS, kommer det att vara något som i framtiden kommer att ha en direkt relation, kom igen, som kommer att påverka vår SEO. Just nu kan vi använda verktyg för att kontrollera vår SEO, jag testar till och med några SEO-positioneringsapplikationer tillgängligt som kan ha en version för Android, ja, i framtiden kommer implementeringen av HTTPS att vara en av parametrarna som ska mätas.

När det gäller informationssäkerhet, är det uppenbart att inloggningar (användare och lösenord) som cirkulerar i klartext i nätverket inte är det mest tillrådliga, vem som helst med två fingrar i pannan kan fånga ett lösenord och väl ... gör vad din fantasi tillåter 🙂

HTTPS i FromLinux

Som jag sa tidigare, om de går med på det https://blog.desdelinux.net Vår server kommer att svara på dem, deras webbläsare visar dem att webbplatsen inte är pålitlig och sådant ... eftersom vi inte har betalat för att ett företag ska underteckna vårt certifikat som "giltigt". De måste bara klicka på Ladda ner / få certifikat och sedan på Godkänn det, det räcker för att de ska komma åt webbplatsen.

Genom Petercheco Vi har ett certifikat genererat av oss själva, för den som skriver dem vet om servrar och andra men ... hehe, jag hade aldrig haft att arbeta med SSL, så jag rekommenderar att du laddar ner och importerar vår CA i din webbläsare.

Ladda ner CA från FromLinux

För att lägga till det här stegen:

  1. Öppna Firefox
  2. Det finns en preferenser o Konfiguration
  3. Låt oss gå till avsnittet advanced, särskilt fliken Certifikat
  4. Vi klickar på knappen att importera och vi letar efter filen som vi just laddade ner, och det är det.

Här är en skärmdump:

certifikat-firefox

När certifikatet har lagts till i webbläsaren kommer vi att kunna komma åt bloggen via HTTPS utan att varningsskylten visas 😉

Och nu, vad är nästa?

För närvarande testar vi HTTPS, att bloggen visas bra där och kontrollerar att allt är bra. Så, eventuella fel ... snälla rapportera det 😉

Sedan är något vi planerar att göra att WP-Admin kommer att vara obligatoriskt att använda den via HTTPS, för det första vi måste skydda är användaren och lösenordet för oss alla, för det räcker det att lägga till en rad i WordPress wp-config.php.

Detta kommer (möjligen) att vara nästa steg.

Nåväl ingenting, jag lämnar det där för tillfället. Jag väntar på feedback från dig för att se om allt fungerar som det ska fungera

PD: Bloggen fortsätter att arbeta över HTTP och HTTPS, oroa dig inte 😉


Innehållet i artikeln följer våra principer om redaktionell etik. Klicka på för att rapportera ett fel här.

67 kommentarer, lämna din

Lämna din kommentar

Din e-postadress kommer inte att publiceras.

*

*

  1. Ansvarig för uppgifterna: Miguel Ángel Gatón
  2. Syftet med uppgifterna: Kontrollera skräppost, kommentarhantering.
  3. Legitimering: Ditt samtycke
  4. Kommunikation av uppgifterna: Uppgifterna kommer inte att kommuniceras till tredje part förutom enligt laglig skyldighet.
  5. Datalagring: databas värd för Occentus Networks (EU)
  6. Rättigheter: När som helst kan du begränsa, återställa och radera din information.

  1.   5ull1v4n sade

    Testar implementering, lycka till så att ingenting faller.

  2.   diazepam sade

    1) för att göra det i krom, gå till inställningar, visa avancerade alternativ, hantera certifikat, fliken utfärdande myndigheter, importera, välj certifikatet och det är det.

    2) Jag tror att han påminner mig om att WordPress-inloggningen misslyckas, för efter att jag loggat in (och slutat i panelen), går jag in i bloggen och loggar ut.

    1.    diazepam sade

      inloggningen är klar. oroa dig inte.

    2.    NauTiluS sade

      I mitt fall använder jag krom, ber det mig om lösenordet som användes för att kryptera certifikatet ??? något väldigt konstigt som frågar mig det.

      När det gäller Firefox importerades den framgångsrikt.

      Lite hjälp??

      1.    Petercheco sade

        Hej NauTiluS, jag testade det bara på Chromium 36 och den senaste Chrome 37 och det finns inga problem.

      2.    diazepam sade

        Det finns på fliken utfärdande myndigheter, inte i ett av dina certifikat

      3.    NauTiluS sade

        Jag har 37 och det var här det gav mig det problemet

      4.    NauTiluS sade

        Jag glömde, jag ger dig en video som jag gjorde med de steg jag tar och det kommenterade misslyckandet.

      5.    NauTiluS sade

        Jag ger dig videon här, med de steg som tagits.
        https://vimeo.com/105256304

        ps: vänligen moderator för att radera den tidigare kommentaren, eftersom Enter-tangenten trycktes av misstag.

      6.    Petercheco sade

        Certifikatet måste importeras i fliken med namnet Behörigheter och inte i dina certifikat som du gör i din video .. Klicka på fliken med namnet Behörigheter :).

      7.    NauTiluS sade

        Färdig petercheco.

        Det är första gången jag gör det i krom :!

  3.   Pes sade

    HTTPS i en blogg är absurt, de flesta har endast tillgång till bloggar för att läsa dem och för inloggningsåtkomst finns inget annat än användarnamn, lösenord och e-post. Å andra sidan gör jag det för att Google föreskriver att det gör mig ganska rädd, eftersom vi redan ger anledningen till att Google är internetregeringen och den som inte går igenom bågen är kvar. På samma sätt tolkas förändringen i Googles algoritm felaktigt eftersom den inte säger att alla webbplatser måste vara HTTPS men om de kommer att prioritera innehåll som kräver att krypteras mot innehåll som inte är (Till exempel marknader eller webbplatser där data hanteras känsliga såsom kreditkort eller personlig information). Detta som ett säkerhetssystem är mycket bra och jag håller med om att Google gör det, men nu behöver vi inte spendera 30 dollar per år per certifikat och domän för en enkel webbplats för allmän information.

    Nu hoppas jag att du tar hänsyn till att en webbplats med ett självsignerat certifikat straffas av Google, eftersom det kommer att vara varningar om att webbplatsen är farlig och inte alla kommer att bry sig om att lägga till certifikatet i sin webbläsare.

    En hälsning.

    1.    elav sade

      Intressant kommentar. Jag personligen stöder inte https, och du har gett mig goda skäl att bekräfta min ståndpunkt.

    2.    Robet sade

      .... varför föreskriver Google det ?, ... småningom fångar google-monopolet GNU / Linux i sin merkantilistiska fälla, och dess användare kommer att överlåtas till sina mörka marknadsintressen. De inser inte att detta monopol Google vill sätta i privatlivet för människor som till och med ber om ett telefonnummer för vilket ändamål? ... Att spåra och veta allt du gör. Nu kommer du inte längre att kunna kommentera fritt i dessa forum ... om du inte är registrerad på den här sidan? .... Och allt varför? ... För det är så Google skickar.

      1.    KZKG ^ Gaara sade

        Jag tror att vi överdriver för mycket ...

        Att det inte går att kommentera fritt i FromLinux? ... Att du inte kan kommentera om du inte är registrerad? ... detta ingenting, upprepar jag, INGENTING har med Google eller något annat företag att göra, de skulle vara åtgärder som om de tillämpas (även om jag inte ser någon anledning att göra det) skulle de vara vårt beslut, inte andra.

        HTTPS ägs inte av Google långt ifrån, det är helt enkelt HTTP men informationen reser krypterad (skyddad) genom nätverket, inget mer.

    3.    KZKG ^ Gaara sade

      Det sätter inte HTTPS för att uttrycka det, jag tror fortfarande att inloggningsuppgifterna går i klartext är en DÅLIG, MYCKET DÅLIG idé.

      1.    Pes sade

        Att en hackare genom en MITM-attack vet att jag läser en blogg om att han kan komma åt sig själv med samma adress som jag får åtkomst till är det som oroar mig minst, det är därför jag bekräftar att inte alla webbplatser nödvändigtvis måste ha HTTPS och jag tror att Googles position är att prioritera krypterat innehåll vars känsliga datatrafik är högre än allmänhetens synlighetstrafik.

        Jag ser det inte bra nu att behöva betala X per år för ett certifikat och för dem som hanterar ett domänpass, men de av oss som har mer än 3 registrerade domäner är en kostnad som vi inte har råd med på något sätt.

    4.    låt oss använda Linux sade

      Detta är inte helt sant, särskilt i fall där användare är "oskyldiga" nog att använda samma lösenord i sin e-post. 🙂
      Kram! Paul.

      1.    yukiteru sade

        Jag delar din åsikt @usemoslinux, många "oskyldiga" användare har dålig vana att använda samma användarnamn och lösenord för nästan allt de gör på Internet utan att förstå risken för detta för deras integritet.

        Och när det gäller sekretess är https inte bara implementerat för säkerhet utan också för att ge användaren möjlighet att ha högre nivåer av integritet och det är positivt ur alla synvinklar, utan att behöva gå in i andra rants. för den frågan.

      2.    Petercheco sade

        Jag håller med båda :).

      3.    Pes sade

        Att använda HTTPS är alltid positivt men det är inte heller att slösa bort pengar. Implementera det bara där det verkligen behövs. För användare att använda samma lösenord på alla webbplatser är som att göra 50 kopior av din husnyckel och slänga ut dem på gatan, tills någon vet var du bor, en olycka inträffar och du måste byta bowlerhatt, men jag vet inte ' Jag har en låssmed som vet att jag gör det och ger mig en kopia. Om människor inte är försiktiga med sina känsliga uppgifter, varför ska vi hjälpa dem om de inte tar något som bör behandlas med sunt förnuft på allvar. Det senare låter väldigt grymt men jag har åtminstone lärt mig genom olyckor och till och med med mycket information om hur vi ska behandla våra uppgifter, de flesta av dem tar inte på allvar hur de ska behandla data.

        Att spendera, i mitt fall, 30 euro mer per år för att skydda människor från något som de inte borde göra av sunt förnuft, är inte lönsamt för mig.

  4.   Mstaaravin sade
    1.    elav sade

      Ja, du har rätt, något är fel ..

    2.    Petercheco sade

      Certifikatet är inte installerat fel. Allt är korrekt. Vad den här sidan informerar om är att det inte är ett certifikat undertecknat av någon av de viktigaste certifieringsmyndigheterna.

      DESDELINUX.NET har sin egen CA :).

      1.    Petercheco sade

        Det anges också att det är rätt server med rätt ip:

        blog.fromlinux.net = 69.61.93.35

        Vilket ger användarna säkerhet att det är desdelinux.net-servern som den visas i domänens DNS-konfiguration.

      2.    eliotime3000 sade

        Och även Firefox / Iceweasel gör det lätt för mig att förstå.

      1.    Petercheco sade

        Hej Franco
        Jag säger samma sak som @Mstaaravin .. Vad den här sidan informerar om är att det inte är ett certifikat undertecknat av någon av de viktigaste certifieringsmyndigheterna ..

        I inget fall påverkas han av Heartbleed.

      2.    KZKG ^ Gaara sade

        En liten fix på servern och det visar mig inte längre sårbarheten, tack för informationen.

  5.   mc sade

    Hej, varför skriver du inte med CAcert? så vi alla som har importerat CAcert-certifikat behöver inte göra ett undantag från ditt certifikat, och det kommer automatiskt in i bloggen 😉

    1.    elav sade

      Hur konstigt, när du försöker registrera dig i CAcert får du sidan att det inte är ett giltigt certifikat hahahaha

      1.    Petercheco sade

        Där spikade du det Elav hahaha

      2.    Petercheco sade

        Jag ber om ursäkt .. istället för spikat .. spikat ..

      3.    mc sade

        har du redan poäng i CAcert? om ingen har godkänt dig tror jag att de inte låter dig ladda upp ditt certifikat = /

      4.    mc sade

        Det kommer inte som standard i webbläsare, men CAcert är en världsberömd enhet, och människor som jag litar på det och importerar CAcert-certifikat. Således, om desdelinux-bloggen är certifierad av CAcert, desto mer anledning till att jag litar på att dess SSL-certifikat är giltigt, eftersom jag inte behöver gå runt och importera oberoende certifikat 😉

      5.    mc sade

        Jag vet inte om du någonsin har certifierats av CAcert, men processen är att minst 5 personer (ungefär) måste certifiera dig, och de kontrollerar dig som tre identifikationer vardera. Jag litar mycket på CAcert ... när det gäller certifikatet från desdelinux litar jag också på det, men jag kommer att ge dig ett exempel, hur vet jag att certifikatet inte ändrades för en timme sedan av någon krackare, och jag accepterar falskt certifikat från början? Jag tror inte att detta har hänt, jag säger bara att CAcert höjer ditt självförtroende lite

      6.    KZKG ^ Gaara sade

        Exakt det är problemet, vi kan inte ladda upp vårt certifikat 😀

        Kan någon ge oss en hand?

      7.    Petercheco sade

        Det är ingen mening att generera ett certifikat signerat av CAcert, eftersom denna auktoritet inte ingår som standard i webbläsare.

        Det är samma som CA för desdelinux.net

      8.    Petercheco sade

        För dem som inte tror mig: http://es.wikipedia.org/wiki/CAcert.org

      9.    Petercheco sade

        Roligt vad du säger @biker .. Litar du på CAcert, men litar inte på certifikatet och ditt eget CA utfärdat av From Linux?

      10.    Petercheco sade

        Också @biker, kom ihåg att google-webbplatsen också använder ett certifikat utfärdat av dem (google Inc) .. Litar du på det? Eftersom det är samma .. Skillnaden är att de har kontaktat utvecklarna av de viktigaste webbläsarna och de har inkluderat sitt CA-certifikat som standard i sina webbläsare ..

        Detsamma kan göras från linux.net.

      11.    Petercheco sade

        Låt oss se @biker,
        Å ena sidan förstår jag vad du säger .. Å andra sidan exakt för att förhindra en hackare från att ändra desdelinux.net-webbplatsen till en annan plats med ett annat certifikat, får du ladda ner desdelinux.net CA som du importerar och med vilka är alla certifikat som finns på desdelinux-servern signerade .. Om någon tappar den riktiga servern från desdelinux.net och påtvingar sitt med ett annat certifikat än det som kommer att genereras, kommer detta inte att undertecknas av myndigheten real från desdelinux.net och du i webbläsaren får ett meddelande som säger att servercertifikatet inte motsvarar certifikaten som undertecknats av original CA.

        Det är omöjligt för något att hända .. Det är därför jag skapade både servercertifikatet och CA som signerar dem och jag använde inte direkt ett självsignerat certifikat eftersom det skulle vara farligt :).

  6.   Luciano Lagassa sade

    Hej. Väldigt goda nyheter. Med självsignerade certifikat är det ganska angeläget. Jag arbetar med openvpn och det använder ssl för certifikaten och det finns inga problem. Men för webben, om de inte har samma som bildas av ett företag i fältet, är det värre än att inte använda ssl. Och det här numret på certifikaten är skit eftersom de tar ut locutas för dem.

  7.   utmaning sade

    Om du går in på webben med HTTPS behåller inte protokollet när du går in i en artikel, men begäran till ingången använder HTTP. Kom igen, vissa länkar upprätthåller inte protokollet (i webbhuvudmenyn gör det det)

    1.    KZKG ^ Gaara sade

      Ja, det saknas fortfarande eftersom du måste ändra slingan eller något i WordPress-kärnan, eller åtminstone är det den första lösningen jag hittar

  8.   Petercheco sade

    Grattis KZKG ^ Gaara för det arbete du har gjort och jag hoppas att allt går bra och att du har få rapporter. Jag har bläddrat i bloggen med https och jag såg inget som jag har att rapportera: D.

    När det gäller desdelinux.net-certifikatet .. Desdelinux.net-certifikatet är inte självsignerat utan undertecknas av en myndighet (CA) från desdelinux.net ..

    Det är därför den här bloggen erbjuder att ladda ner denna myndighet ..

    Det är som CAcert-myndigheten @biker pratar om .. Jag tror att det inte är något problem att importera ett certifikat i webbläsaren som pojkar och tjejer har ..: D.

    För min del är det bra att skydda kommunikationen mellan klienten och servern genom att kryptera den.

    1.    KZKG ^ Gaara sade

      Tack till dig för hjälpen.

      Låt oss hoppas lösa de detaljer som fortfarande finns kvar 🙂

      1.    Petercheco sade

        Du är välkommen KZKG ^ Gaara. Glad att kunna hjälpa lite :).

  9.   yukiteru sade

    Testning och det går smidigt.

  10.   linuXgirl sade

    Rapportering från Underworld: Tja, när jag öppnade via https fick jag certifikatsäkerheten, sedan gav jag Ladda ner CA skapad av petercheco, jag fick en etikett där jag frågade om det var tillåtet att installera certifikatet för att komma åt webbplatsen, för att ta emot meddelanden från honom osv. Jag accepterade allt och gick perfekt in i bloggen via https. Resultat: Det enda dåliga för mig är, som jag förväntade mig, att laddningen av sidorna saktar ner lite, men hej, det är inte som att skära i handlederna, om jag har bråttom kommer jag in via http, punkt. Alla säkerhetsinsatser uppskattas.

    1.    linuXgirl sade

      Det laddar mig redan snabbare, det var bara ett bredbandshastighetsproblem härifrån ... från underjorden.

  11.   santiago alessio sade

    Det fungerar perfekt men när det går åt artiklarna och flyttar mellan sidor använder det http som standard, finns det ett sätt att alltid använda https?

    1.    Joaquin sade

      Jag håller med, samma sak händer mig.

  12.   Problem sade

    Det ger mig ett fel och det beror inte på att det inte kommer från en erkänd certifieringsmyndighet

    Tekniska detaljer:
    blog.fromlinux.net använder ett ogiltigt säkerhetscertifikat. Certifikatet är inte tillförlitligt eftersom ingen utfärdarkedja tillhandahölls. (Felkod: sec_error_unknown_issuer)

  13.   Hugo sade

    Jag undrar: om certifikatet inte är undertecknat av en erkänd säkerhetsenhet, skulle det inte vara enklare (åtminstone i Firefox) att helt enkelt komma in på webbplatsen via https och när varningen visas sparar du certifikatet permanent, som normalt görs med alla självsignerat certifikat?

    1.    Petercheco sade

      Tja i Firefox kan du göra ett permanent undantag, men i IE tror jag inte det. Det är bättre att alla importerar auktoriteten i sin webbläsare och det är det.

  14.   linuXgirl sade

    Det visade sig så här för mig.

  15.   salvipablo sade

    Hej, jag vet att det inte är platsen, för mitt problem men jag har ett problem, kanske du kan hjälpa mig. Jag experimenterar med Elementary Os, jag har just installerat den egna Nvidia-drivrutinen som säger (rekommenderas). Eftersom jag gjorde detta startar systemet mig direkt som om det vore i terminalen, det vill säga det laddar inte den grafiska aspekten. När jag går in med det andra alternativet (återställningsläge) och jag väljer alternativet för att fortsätta den normala studsan, där om den lyfter den grafiska delen. Från och med nu är jag ledsen för att jag publicerade detta här och jag hoppas att du kan hjälpa mig. Hälsningar

  16.   mat1986 sade

    Någon som guidar mig:
    Jag har lyckats installera certifikatet i både Firefox och Qupzilla. Men nu när jag har installerat om Maxthon har jag inte fått reda på hur certifikatet ska installeras. Någon som har gjort det?
    Tack

    1.    Petercheco sade

      Jag försökte bara, men uppenbarligen även om det är baserat på Chrome har det inte sådana alternativ.

  17.   Yeretic sade

    Nyfiken tips ... Så de har inte WordPress-admin med https? Hmmm Det ser ut som en hackares restaurang ... Jag rekommenderar «Säkerhet för dummies» 😛

    1.    KZKG ^ Gaara sade

      Willians, eftersom det finns förtroende och vi har känt varandra i flera år kommer jag att säga er tydligt, du kan få icke-konstruktiv kritik ... du vet var.
      Att knulla och bry sig om en annan del ¬_¬

      1.    Yeretic sade

        Utan att låtsas att falla in i en ordbokskonkurrens om att du ska tro mig när jag säger till dig att du har allt att förlora, skulle jag vilja föreslå att du går bortom hånen på mina ord - eller näsan.

        Det finns en tanke i dem att jag, tilltalande till ditt intellekt (jag hade definitivt fel, ledsen för att jag överskattade dig), antog att du skulle kunna assimileras på ett tillräckligt konstruktivt sätt och inte med den perretiska / katarsis som en 9-årig -gammalt barn som du har antagit det med.

        Stöd socialt förståelse åt sidan, och om du fortfarande läser dessa rader (det kan vara så att jag har överskattat dig igen och just nu biter du en handduk i Anger Management-läge), kommenterar jag, som en sammanfattning av min idé, Jag är nyfiken på den punkt som någon som har skrivit så många poster som har att göra med säkerhet i system, vare sig det är webb eller av någon annan karaktär, upprätthåller - efter flera år sedan det har från Linux - administrationsgränssnittet från blogga med vanlig http.

        Jag frågade aldrig och sanningen är att jag inte var intresserad av att ta reda på det, men jag antog alltid att desdelinux-administratören sprang-som en första säkerhetsåtgärd- på https (och inte som ett alternativ, men inte som OPTIONEN).

        Ingenting, det kommer att passera. För närvarande antar han allt detta som ytterligare ett bidrag, ensam. Spara slipstenen "icke-konstruktiv kritik" för dem som verkligen förtjänar det.

        Din partner är fortfarande willians

  18.   José Miguel sade

    Mycket intressant, jag har haft läsning. Efter så många kommentarer är det inte lätt att lägga till något, men en fråga uppstår.

    Från det ögonblick som användare besöker, kommenterar etc. på andra webbplatser förblir din säkerhet exponerad. Av den anledningen ser jag inte användbarheten, såvida de inte bara är begränsade till FromLinux.

    Hälsningar.

  19.   johnk sade

    StartSSL ger giltiga certifikat som betalda företag men helt gratis 🙂

  20.   auroszx sade

    Hittills verkar det fungera bra. Det är en bra start.

  21.   Mario Tello sade

    De har inte försökt med https://www.startssl.com/ erbjuder gratis certifikat, ett annat bra alternativ är https://www.cacert.org/för några dagar sedan läste jag det här inlägget https://www.sslshopper.com/article-free-ssl-certificates-from-a-free-certificate-authority.html