NEU: Chats via HTTPS / SSL Verschlüsselung

Hier wird über wichtige Neuerungen informiert.
Webkicks
Webkicks - Team
Beiträge: 752
Registriert: 02.05.2003, 00:16
Kontaktdaten:

NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Webkicks » 26.09.2013, 12:58

Hallo zusammen,

gut zwei Jahre haben wir hier im Forum mit Euch über die Einführung verschlüsselter Verbindungen ("HTTPS / SSL (TLS)") und die damit verbundenen Vor- und Nachteile diskutiert.

Wir freuen uns daher sehr, heute endlich bekanntgeben zu können, dass die Nutzung der Chats per HTTPS ab sofort optional möglich ist. Ihr findet hierzu im Admin-Menü Eures Chats den neuen Menüpunkt "SSL Verschlüsselung", unter dem für jeden Chat individuell festgelegt werden kann, ob alle Daten rund um den Chat verschlüsselt übertragen werden sollen.

Die Verschlüsselung ist jeweils ab dem nächsten neuen Login in den Chat aktiv. Dass die Verbindung zum Chatserver verschlüsselt erfolgt, erkennen Eure Chatter bei den meisten Browsern an einem kleinen Schloss-Symbol, das in der Adresseleiste des Browsers angezeigt wird.

Aus technischen Gründen kann die Verschlüsselung der Kommuniation leider nur verwendet werden, solange im Chat eine Bannerbefreiung genutzt wird. Andernfalls würden Eure Chatter Fehlermeldungen erhalten, weil die Bannerwerbung generell nur unverschlüsselt übertragen werden kann ("Diese Seite enthält unsichere Elemente"). Einige Browser würden auch einfach keine Banner anzeigen, daher müssen wir die Nutzung leider fest an die Bannerbefreiung binden. (siehe Update unten)

Falls ihr eine eigene Loginseite nutzt, müsst ihr dort lediglich eine minimale Änderung vornehmen, wenn ihr HTTPS aktiviert habt. Der Abschnitt
Script:Zeigen
action="http://serverX.webkicks.de/CHATNAME/"
muss geändert werden in:
Script:Zeigen
action="https://serverX.webkicks.de/CHATNAME/"
Aus http:// muss also nur https:// gemacht werden. Weitere Änderungen sind nicht nicht erforderlich. Es empfiehlt sich jedoch, auch im Link zur Registrierung http:// durch https:// zu ersetzen, damit die Daten bei der Neuanmeldung im Chat ebenfalls verschlüsselt übertragen werden.

Falls ihr eigene Scripte oder Bilder im Chat eingebunden habt ist zudem zu beachten, dass diese ebenfalls über https:// aufgerufen werden müssen, damit es nicht zu Problemen kommt. Als Hilfestellung zu diesem Thema gibt es einen separaten Thread, technische Fragen hierzu bitte direkt dort stellen, damit es nicht unübersichtlich ist.

Da das Thema Verschlüsselung für viele von Euch neu sein dürfte, möchten wir im Folgenden noch mal auf die wesentlichen Punkte hierzu eingehen:

Grundsätzlich wird Verschlüsselung per HTTPS eingesetzt, damit unbefugte Dritte keine Möglichkeit haben, den Datenverkehr an bestimmten Knotenpunkten im Internet abzufangen und mitzulesen. Aus diesem Grund wird HTTPS z.B. immer im Bereich Online-Banking genutzt, da es sich hier um äußerst sensible Daten handelt.

In Bezug auf Chats ergibt sich jedoch noch ein weiterer Vorteil: Leider passiert es bei unverschlüsselten Verbindungen immer wieder, dass Chatter Streamprobleme haben (d.h. entweder im Chat nichts lesen können oder ungewollt im Problemmodus des Chats landen). Die Ursache hierfür sind häufig Virenscanner, die den Stream "abfangen", um ihn auf Viren zu prüfen und ihn dann nur mit extremer Verzögerung (meist erst nach Verlassen des Chats) zur Ansicht an den Browser weiterleiten.

Beim Einsatz von HTTPS treten Streamprobleme dieser Art nicht auf, da es sich hierbei um eine sog. Ende-zu-Ende Verschlüsselung handelt, d.h. die Daten werden verschlüsselt bis direkt zum Browser der Chatter übertragen und erst dort entschlüsselt und angezeigt. Virenscanner können die Daten also nicht abfangen und hierdurch Probleme bereiten.

Beispielsweise mit Avira Free Antivirus / Antivir konnten wir das oben beschriebene Verhalten erfolgreich testen: Während im normalen Chat-Modus immer automatisch in den (langsamen) Problemmodus des Chats umgeschaltet wurde, war Chatten bei aktiver Verschlüsselung problemlos im normalen (schnellen) Chatmodus möglich. Am PC des Chatters mussten dazu keinerlei Veränderungen vorgenommen werden. Wir gehen davon aus, dass es sich mit anderen Virenscannern genauso verhält. Aufgrund der großen Anzahl an Produkten in diesem Bereich können wir aber nicht alle testen und würden uns sehr über Rückmeldungen von Euch und Euren Chattern freuen. Gerade wenn Chatter bisher Probleme mit dem Chatstream haben würde es uns sehr interessieren, ob diese in allen Fällen gelöst sind, nachdem die Verschlüsselung für den Chat aktiviert wurde.

Auch über sonstiges Feedback, Fragen, Probleme, Anmerkungen usw. würden wir uns wie immer sehr freuen. Feedback in Zusammenhang zu eigenen JavaScripten zur besseren Übersicht bitte in diesem Thread stellen.

UPDATE APRIL 2017: Update: Ab sofort kann HTTPS in allen Chats ohne zusätzliche Kosten genutzt werden. Die Aktivierung der Bannerbefreiung ist hierfür nicht mehr nötig. In neu angemeldeten Chats ist HTTPS von Anfang an aktiviert. Bei den aktuellen Versionen von FireFox und Chrome erhalten Nutzer große Warnmeldungen, wenn Chats kein HTTPS nutzen.

Folgende Warnung sehen Nutzer in der Adresszeile des Browser (hier: Chrome):
nossl2.png
nossl2.png (3.02 KiB) 20489 mal betrachtet

Folgende Warnung sehen Nutzer beim Chat-Login (hier: Firefox):
nossl1.png
nossl1.png (7.58 KiB) 20489 mal betrachtet

Bei aktivierter Verschlüsselung sieht die Adressezeile hingegen so aus (hier: Chrome):
nossl3.png
nossl3.png (2.76 KiB) 20489 mal betrachtet

Wir raten jedem Chatbetreiber dringend dazu HTTPS zu aktivieren. Andernfalls werden die Warnmeldungen viele Nutzer verschrecken und dazu führen, dass sie sich gar nicht erst für den Chat anmelden (die Warnungen erscheinen auch auf der Registrierungsseite).

UPDATE Mai 2018: Update: Ab dem 24. Mai wird die Nutzung der verschlüsselten Datenübetragung Standard in allen Chats. Wer seinen Chat bisher noch nicht umgestellt hat, z. B. weil es Probleme mit eigenen Scripten und/oder Bildern in der Ankündigung des Chats gibt, sollte nun schnell handeln und die Probleme lösen. Andernfalls könnte die Funktionalität einzelner Chats ab dem 24. Mai beeinträchtigt sein. Die Aktivierung der Verschlüsselung wird durch eine Gesetzesänderung nötig, daher ist dieser Schritt unbedingt nötig.

Viele Grüße
WK - Team

rosita
Beiträge: 14
Registriert: 15.01.2007, 10:02
Wohnort: neukirchen / erzgeb

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von rosita » 03.02.2014, 21:16

Hallöchen,
wir haben da einen Chatter, welcher nur über den Problemmodus mit lesen und schreiben kann. Ansonsten hängt der Chat bei ihm.
Nun wollte ich auf die Verschlüsselung umschalten. Hab auch bei der Loginseite alles auf https umgeschrieben. Aber es gibt nirgends etwas zum anhaken dass ich umschalten möchte.
Kann mir jemand helfen?
Weil allein das Umschreiben brachte keine Lösung für den Chatter.

liebe Grüße
rosita

http://server3.webkicks.de/luebeck/

Benutzeravatar
Mogli
Beiträge: 485
Registriert: 18.10.2010, 23:42
Wohnort: Bayern
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Mogli » 03.02.2014, 22:45

Hallo Rosita,

wenn du das Adminmenü aufrufst steht ganz unten "NEU: Verschlüsselung". Wenn der Chat Werbefrei ist, kannst du dort einen Haken setzen und die SSL Verschlüsselung aktivieren. Der Werbefreiheit ist allerdings Vorraussetzung, dass du SSL aktivieren kannst.

schöne Grüße
Mogli

rosita
Beiträge: 14
Registriert: 15.01.2007, 10:02
Wohnort: neukirchen / erzgeb

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von rosita » 04.02.2014, 08:29

Guten Morgen Mogli,
ich danke Dir für deine Hilfe. Dies hat nun super geklappt. Leider funktionieren nun einige Scripte nicht mehr.
Wie unter anderem der Player und das Nickmenü. Weiß grad nicht ob noch mehrere Scripte jetzt nicht funktionieren. Das waren nur die beiden welche ich spontan gesehen habe.

liebe Grüße
rosita

Benutzeravatar
ZischDings
Moderator
Beiträge: 672
Registriert: 22.12.2004, 16:01
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von ZischDings » 04.02.2014, 09:00

Hallo rosita,

vermutlich hast Du diesen Hinweis überlesen:
Webkicks hat geschrieben:.....Feedback in Zusammenhang zu eigenen JavaScripten zur besseren Übersicht bitte in diesem Thread stellen.
Nicht nur, dass Deine Fragen in den o. verlinkten Thread gehören, findest Du dort u.a. auch die Erklärung, weshalb Deine Scripts aktuell nicht mehr funktionieren können ;)

Bitte ggf. im o.g. Thread weitermachen.

Viele Grüße,
ZischDings
Meine Meinung steht fest, verwirren Sie mich nicht mit Tatsachen!

http://www.wasguckstu.de

rosita
Beiträge: 14
Registriert: 15.01.2007, 10:02
Wohnort: neukirchen / erzgeb

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von rosita » 04.02.2014, 09:22

Guten Morgen ZischDings,
vielen Dank und Sorry.
Hat sich aber erledigt. Hab nun eh alles versaut.

liebe Grüße
rosita

Benutzeravatar
Linus
Moderator
Beiträge: 1124
Registriert: 14.02.2005, 20:31
Wohnort: NRW
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Linus » 22.07.2014, 15:02

Nur mal als Frage, die mir gerade in den Sinn kommt (keine Ahnung ob die schon mal gestellt wurde, hab über die Suche nichts gefunden :mrgreen: ): Kann man die Hauptseite und das Forum nicht auch SSL-gesichert anbieten? ;)
Kein Support per PN!

Webkicks
Webkicks - Team
Beiträge: 752
Registriert: 02.05.2003, 00:16
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Webkicks » 30.07.2014, 19:16

Bei der Hauptseite bringt das keinen echten Vorteil (auch keinen Nachteil), für das Forum würde das aber schon sinnvoll sein. Falls technisch nichts dagegen spricht (wovon auszugehen ist) stellen wir daher gerne auch hier in den nächsten Tagen auf SSL um :)

Webkicks
Webkicks - Team
Beiträge: 752
Registriert: 02.05.2003, 00:16
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Webkicks » 31.07.2014, 10:56

UPDATE: Website und Forum sind nun ebenfalls per SSL-Verschlüsselung zu erreichen.

Benutzeravatar
Mogli
Beiträge: 485
Registriert: 18.10.2010, 23:42
Wohnort: Bayern
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Mogli » 13.04.2015, 17:21

Ein Interessanter Bericht zum Thema Verschlüsselung.

Ulrich
Beiträge: 4
Registriert: 15.11.2014, 16:03

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Ulrich » 17.04.2015, 12:57

Webkicks hat geschrieben:UPDATE: Website und Forum sind nun ebenfalls per SSL-Verschlüsselung zu erreichen.
Ich muss schon sagen, ihr seid da wirklich vorbildlich. Dankeschön! :)

Benutzeravatar
Linus
Moderator
Beiträge: 1124
Registriert: 14.02.2005, 20:31
Wohnort: NRW
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Linus » 22.04.2015, 12:58

Dem von Mogli verlinkten Bericht stehe ich jetzt eher kritisch gegenüber, da nur bestimmte Verschlüsselungsverfahren (vermutlich) knackbar sind.

Aber: Unter der Annahme dass webkicks.de und die Chat-Server da gleich konfiguriert sind: Die komplette Zertifikatskette nutzt noch SHA1, was in absehbarer Zeit im Chrome dazu führen wird, dass die Seiten nicht mehr als sicher erachtet werden, was sicherlich einige Irritationen hervorrufen wird. Bei der Erneuerung der Zertifikate im September (oder halt vorher) solltet ihr also auf eine komplette SHA2 bzw. SHA256-Zertifikatskette achten :) Die Konfiguration der Verschlüsselungsverfahren und der Diffie-Hellman-Parameter ist definitiv optimierbar, insbesondere sollte der (vermutlich) knackbare RC4-Algorithmus rausfliegen. Die derzeit empfohlene Konfiguration (laut Qualys (ssllabs) bzw. Ivan Ristic) sieht folgendes vor (Apache 2.4):

Code: Alles auswählen

SSLCipherSuite ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES256-SHA384:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES256-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES256-SHA256:EDH-RSA-DES-CBC3-SHA
        SSLHonorCipherOrder on
        SSLProtocol all -SSLv2 -SSLv3
Die Diffie-Hellman-Parameter sollten sich dann nach der Stärke des Private Keys richten, was bei 4096 Bit auch zu entsprechenden Ergebnissen führt (https://www.ssllabs.com/ssltest/analyze ... wkstats.de). Die CPU-Leistung für das ganze Zeug halte ich für vernachlässigbar, IE8 auf WinXP ebenso, wer das noch nutzt hats meiner Meinung nach nicht besser verdient :P

HSTS solltet ihr natürlich tunlichst weglassen, sonst kriegen die Leute Probleme, die sich mal in einem werbefreien Chat eingeloggt haben und anschließend einen nicht werbefreien besuchen wollen ;)
Kein Support per PN!

Webkicks
Webkicks - Team
Beiträge: 752
Registriert: 02.05.2003, 00:16
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Webkicks » 22.04.2015, 17:51

Die Umstellung auf SHA256 erfolgt bei der nächsten Verlängerung unseres SSL-Zertifikats im September, bis dahin dürfte es keine größeren Probleme geben. Die Kombination aus Windows XP und IE8 taucht in unseren Zugriffsstatistiken leider noch recht häufig auf, wir hatten RC4 daher vor einigen Wochen testweise zunächst nur auf Server3 deaktiviert. Sollten Problemmeldungen überschaubar bleiben (danach sieht es aus), dann übernehmen wir das in Zukunft auch auf allen anderen Server. Mittelfristig ist also die SSL-Konfiguration von Server3 maßgeblich.

Benutzeravatar
Linus
Moderator
Beiträge: 1124
Registriert: 14.02.2005, 20:31
Wohnort: NRW
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Linus » 26.02.2016, 08:18

Wäre es einfach umsetzbar, bei Benutzung des "Direktlinks" zum Admin-Menü (http://serverX.webkicks.de/CID/admin) automatisch auf HTTPS umzuleiten, selbst wenn man die Verschlüsselung nicht aktiviert hat? HTTPS an sich funktioniert für den Link ja schon :)

Außerdem: HTTPS fürs Wiki. Ist das machbar oder gibts da externe Inhalte?
Kein Support per PN!

Webkicks
Webkicks - Team
Beiträge: 752
Registriert: 02.05.2003, 00:16
Kontaktdaten:

Re: NEU: Chats via HTTPS / SSL Verschlüsselung

Ungelesener Beitrag von Webkicks » 26.02.2016, 17:16

Ist beides machbar und jetzt auch umgesetzt :)

Antworten

Wer ist online?

Mitglieder in diesem Forum: 0 Mitglieder und 3 Gäste