https με το ζόρι ή θα ζήσουν τα http site μας και χωρίς αυτό;

[Predatorkill]

6 ώρες πριν, mindreader είπε

Λοιπον, εκανα σημερα ενα account στο cloudflare και δηλωσα εκει και το site. Εχω ομως καποιες αποριες, ισως χαζες.

Περιμενα ομως, αλλα μαλλον εσφαλμενα(?), οτι οι nameservers που θα μου εδινε, θα ηταν κατι σαν virtual ειδικα για το δικο μου site. Ομως μου εδωσε δυο 'ασχετους' δικους του servers. Έτσι γινεται; Ειναι 'γενικοι' servers που δινονται για πολλα και διαφορα sites? Και δινει 2 nameservers?

Κατοπιν κανω την αλλαγη στον καταχωρητη μου και ζητω να δηλωθουν οι nameservers του cloudflare?

Ετσι γινεται, δηλωσε τους στον registrar σου, θελει λιγη ωρα μεχρι να ενημερωθουν οι ISP.

Επεξ/σία 24 Μαρτίου 2018 από Predatorkill

[mindreader]

Επειδη η μεταβαση στο cloudflare θα γινει κατα κυριο λογο για την αποκτηση του ssl,

και συμφωνα με οσα ειπε ο συμφορουμιτης becoming_I "Πας page rules και φτιάχνεις rule Always use https και βάζεις το όνομα του site σου ",

μπορει καποιος να μου πει πως θα το κανω;

Παω να κανω ενα νεο rule,

 

- εκει που λεει 'example' θα γραψω το site μου με http://www ?

- στο add a setting δεν βλεπω πουθενα να εχει επιλογη 'always use https' . Που το οριζω αυτο;

[mindreader]

Στις 3/18/2018 στις 12:05 ΠΜ, becoming_I είπε

1. Γράφεσαι στο Cloudflare
2. Με το που μπαίνεις βάζεις το όνομα της σελίδας
3. αλλάζεις τα nameservers στο panel διαχείρισης του domain σου με αυτά του Cloudflare
4. Στο overview θα δείχνει ότι όλα είναι ΟΚ (αλλιώς θα λέει pending) αν αλλαχτούν σωστά
5. Πας page rules και φτιάχνεις rule Always use https και βάζεις το όνομα του site σου
6. Κερνάς καφέ τo μισό forum   (αφού τα γλίτωσες από το SSL)

 

Τελικα δεν το βρηκα στα page rules, αλλα στην καρτελα crypto.

Ομως εδω, λεει αυτο που λες εσυ, για page rules, αλλα δεν το βρισκω. Το αφαιρεσαν;

https://support.cloudflare.com/hc/en-us/articles/200170536-How-do-I-redirect-all-visitors-to-HTTPS-SSL-

Μηπως ομως ισχυει αυτο που λεει κατω στη σελιδα;

The "Always Use HTTPS" option will only appear if your zone has an active SSL certificate associated with it on Cloudflare.

Αυτο ομως θα το ενεργοποιησει το cloudflare, MONO οταν ολοκληρωθει η μεταβαση;;;;

 

----------------------------------------------------

 

Κατα τη μεταβαση σε ssl, το γεγονος οτι θα ειναι δηλωμενο στα settings του wordpress το απλο http, θα δημιουργησει προβλημα;
Ρωτω γιατι σε πειραματισμους που εκανα, δηλαδη οντας σε μη https να παω να δηλώσω στα general settings (url, site) το https, οντως δημιουργησε προβλημα.
Και τωρα αναρωτιεμαι αν θα συμβει το ιδιο. Ξερει κανεις;
Φυσικα, οταν ολοκληρωθει η μεταβαση σε cloudflare, θα παω και θα ορισω url/site address με https. Αλλα δεν μπορω να ξερω την ακριβη στιγμη που θα συμβει αυτο, και αναρωτιεμαι μηπώς το site ειναι μη προσβασιμο εξαιτιας αυτου του γεγονοτος, δεδομενου οτι οπως ειπα το αντιστροφο οντως δημιουργησε προβλημα.

Επεξ/σία 26 Μαρτίου 2018 από mindreader

[mindreader]

Παντως το cloudflare, οσο δεν κάνω την μεταβαση στους servers τους και υπαρχει καθυστερηση(ενω εχω κανει εγγραφη), μου στελνει υπενθυμιστικα emails να κανω την μεταβαση!
Μπραβο ενδιαφέρον!!!!

[becoming_I]

11 λεπτά πριν, mindreader είπε

Παντως το cloudflare, οσο δεν κάνω την μεταβαση στους servers τους και υπαρχει καθυστερηση(ενω εχω κανει εγγραφη), μου στελνει υπενθυμιστικα emails να κανω την μεταβαση!
Μπραβο ενδιαφέρον!!!!

Αν δε βάλεις τους nameservers του cloudflare ξέχνα το SSL.

Μ'αρέσει πάντως που κάνεις μισά βήματα και μετά απορείς γιατί δε δούλεψε

Αφού το θες ταλιράκια πάρε

Όταν κάνεις την αλλαγή θα έχεις στην καρτέλα Overview αυτό

Και μετά θα πας Page Rules και θα κάνεις ένα τέτοιο rule σαν και αυτό που έχω εγώ

 

ΥΓ. Πλέον η ταρίφα ανέβηκε από καφέ και πάει σε petit-dejeuner σε boulangerie 

Επεξ/σία 27 Μαρτίου 2018 από becoming_I

[mindreader]

Μπραβο ρε becoming_I!

Αν και στο τελος οπως ανεβαινει η ταριφα, πιο φτηνα θα μου εβγαινε να το αγοραζα το ssl απο forthnet!!!!

Αλλα ειπαμε, καλυτερα cloudflare, γιατι μαλλον δινει κι αλλη 'αξια' στο site περα απλως απο το ssl!

 

[mindreader]

Προβλημα και παλι προβλημα.

Αφου 'επεισα' (χρειαστηκε προσπαθεια) την forthnet για την αλλαγη nameservers, τελικα δεν λειτουργησαν ολα τοσο smooth οσο υποτιθεται οτι θα ηταν.

Το site ναι μεν ηταν online, αλλα εγω δεν ειχα καμια προσβαση στο controlpanel του wordpress. Ελεγε οτι δεν υπαρχει secure connection. Δοκιμασα μεσω plesk panel να αλλαξω το site url σε https, αλλα εκει μετα χαλουσε και η ιδια η ιστοσελιδα και ηταν πεσμενη! Ετσι το ξαναγυρισα παλι σε απλο http.

Στο μεταξυ, παροτι ειχαν αλλαχτει οι nameservers σε αυτους της cloudflare, εγω υπεθετα οτι ναι μεν οι isps ανα τον κοσμο μπορει να θελουν ενα 24ωρο για να ενημερωθουν, αλλα τουλαχιστον η cloudflare αυτη καθαυτη, θα ειχε αμεση αποκριση οτι το site μου πεφτει στους servers τους πλεον. Δεν φαινεται ομως να λειτουργει ετσι. Ετσι, επι 6 ωρες, το site παρεμενε pending εντος cloudflare.

Ειλικρινα δεν καταλαβαινω γιατι 'κλειδωθηκα' εστω και για καποιες ωρες, εξω απο την διαχειριση του wordpress site μου, λογω non secure connection στον browser. Υποτιθεται ολα θα γινονταν ομαλα και απροβληματιστα.

 

Μετα απο αυτα, ζητησα απο την forthnet να με γυρισει πισω στους servers τους. Τουλαχιστον να μπορω να λειτουργω το site μου.

Και για το https, θα πρεπει να δω τι θα κανω εγω, τι θα κανει ο λοιπος κοσμος που εχει sites κλπ...

[becoming_I]

59 λεπτά πριν, mindreader είπε

Και για το https, θα πρεπει να δω τι θα κανω εγω, τι θα κανει ο λοιπος κοσμος που εχει sites κλπ...

Αν κατάλαβες καλά είσαι ο μόνος που μάλλον έχει πρόβλημα και μάλλον ο μοναδικός που έχει νταραβέρια με τη forthnet  

[jimex]

Πρώτον είναι από μόνο του γελοίο το γεγονός πως τόσα sites που δεν το χρειάζονται αναγκάζονται να γυρίσουν σε https.

Δεύτερον αυτό που γίνεται είναι τραγικά επικύνδινο. Τα certificates ούτε θα έπρεπε να μοιράζονται με το τσουβάλι σε τιμές χώμα/δωρεάν, ούτε χωρίς κανέναν έλεγχο. Αυτό γιατί στο μυαλό των περισσοτέρων το https και ο τρόπος που προβάλεται από όλους τους browsers εδώ και 15 χρόνια με πράσινο κλειδάκι, φωτεινή πράσινη/μπλε μπάρα url κλπ, δημιουργεί αίσθημα ασφάλειας. Το πρόβλημα όμως είναι ότι το αίσθημα ασφάλειας δεν περιορίζεται στο ότι κάποιος τρίτος δε θα έχει πρόσβαση στην κίνηση που ανταλλάσεται με το site. Συνήθως οι περισσότεροι αντιλαμβάνονται ότι προστατεύονται και από τις απάτες.

Από τη μέχρι τώρα εμπειρία μου, μπορώ να πω πως περισσότερο κακό έχει κάνει η χρήση https παντού, παρά καλό. Αυτό για να αντιμετωπιστεί είμαι τρομερά πεπεισμένος ότι θα οδηγήσει σε certificates δύο ή και παραπάνω ταχυτήτων από διαφορετικά CAs, τα οποία οι browsers θα εμφανίζουν εντελώς διαφορετικά. Στα πρώτα μπορεί να μην εμφανίζεται ούτε καν το χαρακτηριστικό "κλειδάκι"...

[Predatorkill]

Μα υπαρχουν ηδη πολλων ταχυτητων, αλλη τιμη εχει η πρασινη μπαρα, αλλο το να μην εχει κτλ.

Απο το να μην εχει τιποτα, καλο ειναι να εχει τουλαχιστον το απλο.

Απο κει και περα πρεπει οι χρηστες να μπορουν να καταλαβουν τι γινεται αλλα ο chrome τουλαχιστον εχει θαψει τα χαρακτηριστκα του ssl ενος site μεσα στη κονσολα, εχουν αρκεστει στο να δειχνουν απλες πληροφοριες οταν πατας το λουκετακι. Τεσπα...

[mindreader]

Ελπιζω οτι στη google, γιατι ΔΕΝ ειναι ο Θεος, οτι θα πρυτανευσει η λογικη, και θα φροντισουν ωστε να μην δημιουργηθει ιδιαιτερη αναστατωση σε χρηστες και ιδιοκτητες sites.

Πχ το να πατησει μια φορα ενα pop up message ενας χρηστης σε μηνυμα οτι δεν ειναι ασφαλες ενα site αλλα παρολα'αυτα να προχωρα κανονικα ΚΑΙ κυρίως να κρατά αυτη τη ρυθμιση ο browser (κι οχι να του ζαλιζει καθε φορα τα @@@@), ας πουμε οτι κατι τετοιο θα ηταν ενας ηπιος τροπος υλοποιησης, αφου θελουν ντε και καλα να κανουν επισημανση περι των ....'μη ασφαλων sites'.

Δεν ξερω πως εκτιματε εσεις την κατασταση. Εξαρταται σε μεγαλο βαθμο και απο τη σταση που θα κρατησουν οι χρηστες, την κοινοποιηση της δυσφοριας για την αθλια αποφαση κλπ. Εξαλλου browser δεν ειναι μονο ο chrome, και αδυνατω να πιστεψω οτι θα ερθει μερα που δεν μπορεις να εχεις προσβαση σε απλο http. Πειτε κι εσεις τις εκτιμησεις σας, αν εχετε λιγο εντρυφησει παραπανω στο θεμα.

[becoming_I]

4 ώρες πριν, jimex είπε

Το πρόβλημα όμως είναι ότι το αίσθημα ασφάλειας δεν περιορίζεται στο ότι κάποιος τρίτος δε θα έχει πρόσβαση στην κίνηση που ανταλλάσεται με το site. Συνήθως οι περισσότεροι αντιλαμβάνονται ότι προστατεύονται και από τις απάτες.

Κάνω εγώ site με https και λέω ότι θεραπεύω τον καρκίνο και τη φαλάκρα και πουλάω το φάρμακο 5000€. Το https που φταίει αν ο άλλος δεν μπορεί να καταλάβει το αυτονόητο;

@mindreader οι χρήστες είναι μάζα και θα πάνε όπου τους πούνε. Αν πει η google δεν θα βγάζω τα site με https, θα πάνε εκεί που έχει https.

Επειδή εσύ δεν μπορείς να το περάσεις, δε σου φταίει.

[παπι]

Στις 7/4/2018 στις 4:04 ΜΜ, jimex είπε

Πρώτον είναι από μόνο του γελοίο το γεγονός πως τόσα sites που δεν το χρειάζονται αναγκάζονται να γυρίσουν σε https.

Δεύτερον αυτό που γίνεται είναι τραγικά επικύνδινο. Τα certificates ούτε θα έπρεπε να μοιράζονται με το τσουβάλι σε τιμές χώμα/δωρεάν, ούτε χωρίς κανέναν έλεγχο. Αυτό γιατί στο μυαλό των περισσοτέρων το https και ο τρόπος που προβάλεται από όλους τους browsers εδώ και 15 χρόνια με πράσινο κλειδάκι, φωτεινή πράσινη/μπλε μπάρα url κλπ, δημιουργεί αίσθημα ασφάλειας. Το πρόβλημα όμως είναι ότι το αίσθημα ασφάλειας δεν περιορίζεται στο ότι κάποιος τρίτος δε θα έχει πρόσβαση στην κίνηση που ανταλλάσεται με το site. Συνήθως οι περισσότεροι αντιλαμβάνονται ότι προστατεύονται και από τις απάτες.

Από τη μέχρι τώρα εμπειρία μου, μπορώ να πω πως περισσότερο κακό έχει κάνει η χρήση https παντού, παρά καλό. Αυτό για να αντιμετωπιστεί είμαι τρομερά πεπεισμένος ότι θα οδηγήσει σε certificates δύο ή και παραπάνω ταχυτήτων από διαφορετικά CAs, τα οποία οι browsers θα εμφανίζουν εντελώς διαφορετικά. Στα πρώτα μπορεί να μην εμφανίζεται ούτε καν το χαρακτηριστικό "κλειδάκι"...

Τα σαιτ ποτε δεν θελανε ssl. Οι χρήστες το θελουν. Και ναι, στην εποχη του free wifi, καλο ειναι ολοι να εχουν ssl.

[jimex]

Στις 9/4/2018 στις 2:16 ΜΜ, παπι είπε

Τα σαιτ ποτε δεν θελανε ssl. Οι χρήστες το θελουν. Και ναι, στην εποχη του free wifi, καλο ειναι ολοι να εχουν ssl.

Και πάλι όμως αναφέρεσαι στην αποτροπή MITM επιθέσεων, που για να έχουν νόημα πρέπει να υπάρχουν δεδομένα που να θες προστατέψεις ΑΜΕΣΑ. Τα περισσότερα sites εκεί έξω έχουν να προστατέψουν κάτι από τα παρακάτω:

1. User Passwords: Αν εφαρμορστούν σύγχρονες πρακτικές στο login system δε γίνεται καμιά μεταφορά του ίδιου του password.
2. User Sessions: Το ίδιο με το πρώτο.
3. Payment data: To 3rd party σύστημα πληρωμών που χρησιμοποιείται έχει TLS από μόνο του.
4. User Comments: Το 3rd party σύστημα για comments που χρησιμοποιείται έχει TLS από μόνο του.

Επίσης υπάρχουν sites που δεν έχουν τίποτα από τα παραπάνω.

Οι χρήστες από την άλλη στην πλειοψηφία τους δεν έχουν ιδέα τι είναι το TLS και από τι πραγματικά προστατεύει και αυτό είναι το πρόβλημα. Αν ρωτήσεις κόσμο που δεν έχει καμία σχέση με το αντικείμενο, οι περισσότεροι θα σου πουν πως το κλειδάκι που εμφανίζει ο browser τους κάνει να αισθάνονται περισσότερο ασφαλείς για το ίδιο το site. Δηλαδή duplicate scam sites, scam e-shops κλπ. στα μάτια πολλών θα θεωρούνται νορμάλ μόνο και μόνο επειδή "έχει πράσινο κλειδάκι, άρα καλό θα είναι".

Κατά τα άλλα είμαι από πάντα υπέρ του https.

Στις 7/4/2018 στις 4:34 ΜΜ, Predatorkill είπε

Μα υπαρχουν ηδη πολλων ταχυτητων, αλλη τιμη εχει η πρασινη μπαρα, αλλο το να μην εχει κτλ.

Απο το να μην εχει τιποτα, καλο ειναι να εχει τουλαχιστον το απλο.

Απο κει και περα πρεπει οι χρηστες να μπορουν να καταλαβουν τι γινεται αλλα ο chrome τουλαχιστον εχει θαψει τα χαρακτηριστκα του ssl ενος site μεσα στη κονσολα, εχουν αρκεστει στο να δειχνουν απλες πληροφοριες οταν πατας το λουκετακι. Τεσπα...

Πλέον δεν πρέπει καν να εμφανίζεται το λουκετάκι μόνο και μόνο επειδή χρησιμοποιείται https, από τη στιγμή που η απόκτηση ενός certificate είναι υπόθεση λεπτών (εδώ και μερικά χρόνια για την ακρίβεια).

Στις 7/4/2018 στις 8:30 ΜΜ, becoming_I είπε

...

Επειδή εσύ δεν μπορείς να το περάσεις, δε σου φταίει.

Ούτε ως site administrator εργάζομαι, ούτε καν ως web developer οπότε πίστεψέ με δε θα χάσω ούτε μια γουλιά του καφέ μου.

Επεξ/σία 10 Απριλίου 2018 από jimex

[Predatorkill]

29 λεπτά πριν, jimex είπε

Πλέον δεν πρέπει καν να εμφανίζεται το λουκετάκι μόνο και μόνο επειδή χρησιμοποιείται https, από τη στιγμή που η απόκτηση ενός certificate είναι υπόθεση λεπτών (εδώ και μερικά χρόνια για την ακρίβεια).

Δηλαδη να μην γνωριζει καν αν ενα  site εχει ssl, αλλα θα πρεπει να γνωριζει εαν ειναι spoof ή scam με μια ματια. Whatever μαν

Επεξ/σία 10 Απριλίου 2018 από Predatorkill