News In eigener Sache: ComputerBase nutzt jetzt durchgehend HTTPS und HTTP/2

[bitheat]

Komplettzitat entfernt.

Danke, genauso schaut es bei mir aus.

 

[Steffen]

Mal ein kurzer Zwischenstand zu den Kaspersky-Warnungen.

Unser Vermarkter greift zum Ausliefern der Anzeigen auf einen technischen Dienstleister zurück, der unter anderem die Domain cdn.adnxs.com nutzt. Beim Laden von Anzeigen von dieser Domain via HTTPS liefert der zuständige Server manchmal (unabhängig davon, ob Kaspersky installiert ist) ein falsches SSL-Zertifikat aus. Normalerweise würde ein Browser in einem solchen Fall das Laden der Anzeige von cdn.adnxs.com einfach still abbrechen, d.h. im konkreten Fall diese Anzeige nicht laden und lediglich einen Fehler in der Entwicklerkonsole loggen. ComputerBase wäre nutzbar, der Nutzer würde weder einem Sicherheitsrisiko ausgesetzt noch würde er genervt und es würden lediglich ein paar Anzeigen fehlen.

Wenn Kaspersky installiert ist, dann sieht der Nutzer in derselben Situation stattdessen eine prominente Warnung. (Das dürfte daran liegen, dass Kaspersky als Sicherheitsprodukt den Nutzer regelmäßig daran erinnern möchte, dass es ihn aktiv vor vermeintlichen Gefahren aus dem Internet schützt, schließlich soll jener zukünftig erneut Geld für das nächste Update ausgeben.) Kaspersky bietet im konkreten Fall also keinen zusätzlichen Schutz, macht aber prominent auf das Problem aufmerksam und wälzt die Entscheidung "Fortsetzen oder Verbindung trennen" auf den Nutzer ab (anstatt einfach konsequent abzubrechen, denn wirklich beurteilen kann der durchschnittliche Nutzer das Problem ohnehin nicht und wird nur noch mehr dazu erzogen, Warnungen wegzuklicken).

Nichtsdestotrotz ist das natürlich ganz klar und ohne Zweifel ein Problem des technischen Dienstleisters unseres Vermarkters und somit letztendlich ein Problem unseres Vermarkters und in letzter Konsequenz unser Problem. Wir selbst können leider nichts direkt unternehmen, unser Vermarkter steht aber mit seinem technischen Dienstleister in Kontakt. Wir hoffen, dass das Problem bald behoben sein wird und bitten noch um etwas Geduld.

 

[DeusoftheWired]

Exakt so haben Fehlerbeschreibungen auszusehen! Kein Gelaber, kein „Ihr Anliegen ist uns sehr wichtig, wir arbeiten an der Behebung“, sondern einfach Fakten.

 

[XimeX]

Steffen hätt ich gerne als sysadmin ;-)
@DeusoftheWired dem stimm ich voll zu. Genau so geht das steffen

 

[Neronomicon]

Danke an alle Beteiligten die das ermöglicht haben!

 

[bitheat]

Mal ein kurzer Zwischenstand zu den Kaspersky-Warnungen.

Unser Vermarkter greift zum Ausliefern der Anzeigen auf einen technischen Dienstleister zurück, der unter anderem die Domain cdn.adnxs.com nutzt. Beim Laden von Anzeigen von dieser Domain via HTTPS liefert der zuständige Server manchmal (unabhängig davon, ob Kaspersky installiert ist) ein falsches SSL-Zertifikat aus. Normalerweise würde ein Browser in einem solchen Fall das Laden der Anzeige von cdn.adnxs.com einfach still abbrechen, d.h. im konkreten Fall diese Anzeige nicht laden und lediglich einen Fehler in der Entwicklerkonsole loggen. ComputerBase wäre nutzbar, der Nutzer würde weder einem Sicherheitsrisiko ausgesetzt noch würde er genervt und es würden lediglich ein paar Anzeigen fehlen.

Wenn Kaspersky installiert ist, dann sieht der Nutzer in derselben Situation stattdessen eine prominente Warnung. (Das dürfte daran liegen, dass Kaspersky als Sicherheitsprodukt den Nutzer regelmäßig daran erinnern möchte, dass es ihn aktiv vor vermeintlichen Gefahren aus dem Internet schützt, schließlich soll jener zukünftig erneut Geld für das nächste Update ausgeben.) Kaspersky bietet im konkreten Fall also keinen zusätzlichen Schutz, macht aber prominent auf das Problem aufmerksam und wälzt die Entscheidung "Fortsetzen oder Verbindung trennen" auf den Nutzer ab (anstatt einfach konsequent abzubrechen, denn wirklich beurteilen kann der durchschnittliche Nutzer das Problem ohnehin nicht und wird nur noch mehr dazu erzogen, Warnungen wegzuklicken).

Nichtsdestotrotz ist das natürlich ganz klar und ohne Zweifel ein Problem des technischen Dienstleisters unseres Vermarkters und somit letztendlich ein Problem unseres Vermarkters und in letzter Konsequenz unser Problem. Wir selbst können leider nichts direkt unternehmen, unser Vermarkter steht aber mit seinem technischen Dienstleister in Kontakt. Wir hoffen, dass das Problem bald behoben sein wird und bitten noch um etwas Geduld.

Dankeschön für die saubere Analyse Steffen und die offene Kommunikation. Davon könnte sich so manch ein Anbieter eine dicke Scheibe von abschneiden. Dickes Lob und weiter so !

Als kleines Dankeschön habe ich mal das Abo ausprobiert.

 

[blackstone]

Danke für die verständliche Erklärung. Sehr vorbildlich. Jetzt weiß ich zumindest das ich die Meldung nicht all zu ernst nehemen muss und mit "trennen" grundsätlich wohl nichts falsch mache Kennt sich ja nun nicht jeder mit dem tieferen Durcheinander in Programmen aus.

 

[Steffen]

Es scheint so zu sein, das der technische Dienstleister unseres Vermarkters beim Ausliefern von Anzeigen auf HTTPS-Websites die problematische Domain cdn.adnxs.com jetzt nicht mehr nutzt. Können unsere Kaspersky-Nutzer das bestätigen oder besteht das Problem nach wie vor?

 

[Kyotetsu]

Hallo Steffen, hatte die Fehlermeldung erst vor 5 min wieder gehabt, scheint also noch zu bestehen

 

[Stuntmp02]

Steffen, seitens der Administration bist du ein Meister deines Fachs. Ihr seid einfach technisch die bei weitem Abstand beste Seite! Das fängt schon beim Zertifikat an, fast selbstverständlich nutzt ihr ein SHA256 basiertes, du glaubst nicht, wie viel SHA1 noch unterwegs ist, obwohl ein Upgrade kostenlos ist beim Zertifikatsanbieter.

Ihr unterstützt kein Protokoll SSL 3.0 mehr - an dieser Stelle wäre gar wünschenswert, auch TLS 1.0 zu streichen und nur noch TLS 1.1 und TLS 1.2 zu supporten. Ganz auf TLS 1.2 würde ich noch nicht setzen, da einige transparente Proxys in Firmen das nicht ohne weiteres unterstützen, hatte ich letztens ein Ticket eines Kunden wegen elster.de - die lassen nur TLS 1.2 zu

Only HTTPS, da seid ihr als Anzeigenfinanzierte Website meines Wissens nach fast einzigartig, ich kenne keine weitere Website die das tut.

 

[Der-Orden-Xar]

Ihr unterstützt kein Protokoll SSL 3.0 mehr - an dieser Stelle wäre gar wünschenswert, auch TLS 1.0 zu streichen und nur noch TLS 1.1 und TLS 1.2 zu supporten. Ganz auf TLS 1.2 würde ich noch nicht setzen, da einige transparente Proxys in Firmen das nicht ohne weiteres unterstützen, hatte ich letztens ein Ticket eines Kunden wegen elster.de - die lassen nur TLS 1.2 zu

Meine 5 Cent dazu: Ich kenne (bis auf unwichtige) keine Clients, die TLS 1.2 aber nicht TLS 1.1 beherschen, was ist das den für komisches Zeugs?

Only HTTPS, da seid ihr als Anzeigenfinanzierte Website meines Wissens nach fast einzigartig, ich kenne keine weitere Website die das tut.

Ich glaube bei der sz ging das vor einiger Zeit - aber mit total verrissenem Style, daher hier nochmal ein Lob an computerbase hinterher, dass hier kein mixed contend müll ist.

 

[Steffen]

Hallo Steffen, hatte die Fehlermeldung erst vor 5 min wieder gehabt, scheint also noch zu bestehen

Das heißt das Problem tritt jetzt seltener auf als zuvor? Vielleicht liegt es dann "nur noch" an einzelnen Werbebannern. Wenn das Problem nochmal auftritt, kannst du dann bitte bei demselben Seitenaufruf unten am Seitenende auf den Button "Probleme mit einem Werbebanner?" klicken?

Ihr unterstützt kein Protokoll SSL 3.0 mehr - an dieser Stelle wäre gar wünschenswert, auch TLS 1.0 zu streichen und nur noch TLS 1.1 und TLS 1.2 zu supporten.

Dann würde man laut Wikipedia unter anderem Nutzer von Android 4.4- und IE10- aussperren. Ich denke dafür ist es noch etwas früh. Wir halten uns an die von Mozilla vorgeschlagene "Intermediate"-Konfiguration (https://wiki.mozilla.org/Security/Server_Side_TLS). Und Danke für das Lob!

Ich glaube bei der sz ging das vor einiger Zeit - aber mit total verrissenem Style, daher hier nochmal ein Lob an computerbase hinterher, dass hier kein mixed contend müll ist.

Danke!

 

[Miuwa]

So jetzt auch mal ein großes Lob von mir. Sowohl für die komplette Umstellung auf https, als auch dafür wie ihr mit den Auftretenden Problemen umgeht.

Was das Zertifikatsproblem angeht: Keine Ahnung, ob das was damit zu tun hat: Ich nutze zwar kein Kaspersky, aber muss bei NoScript Scripts von der Domäne adnxs.com zulassen um Werbung zu sehen.

Ich sollte vielleicht erwähnen, dass ich Adblock bei euch zwar schon seit Jahren abgeschaltet hatte, aber bisher nicht daran gedacht habe die Scripte nachzuziehen. Kann es sein, dass man früher selbst bei deaktivierten (externen) Scripten noch Werbung gesehen hat?

 

[Autokiller677]

@Miuwa:
Hin und wieder taucht mal ein Werbebanner auf, dass von pics.computerbase.de ausgeliefert wird. Alles andere kommt von extern und wird daher von Skriptblockern aufgehalten, so auch bei mir. Ich bin gerne bereit, Werbung zu sehen. Ich bin nicht bereit mein Userverhalten an verschiedenste Dritte zu verteilen und die Gefahr auf Malware deutlich zu erhöhen (schließlich sind Werbenetzwerke aufgrund ihrer großen Reichweite beliebte Ziele).

 

[Kyotetsu]

So Steffen die ID ist 2016-16026, hier ist noch ein screenshot:



Falls das irgenwie hilft is hier noch was die Konsole ausgibt

https://script.ioam.de/iam.js Failed to load resource: the server responded with a status of 499 (Request has been forbidden by antivirus)
js?country=de&site=computerbase.de&zone=home:2 Failed to execute 'write' on 'Document': It isn't possible to write into a document from an asynchronously-loaded external script unless it is explicitly opened.
ads.7a5eeab7.js:1 Uncaught TypeError: window.hiMediaUt.callTag is not a function
https://dmp.theadex.com/d/137/107/i/1.gif?_sc=1001310270818370146& Failed to load resource: net::ERR_TOO_MANY_REDIRECTS

 

[lufkin]

Ich hatte die Meldung von Kaspersky heute Vormittag schon zwei mal...
Die Bug-Report-ID vom zweiten mal ist 2016-16039.

​

 

[abulafia]

Hu, da mag aber jemand Kaspersky.

(...)(Das dürfte daran liegen, dass Kaspersky als Sicherheitsprodukt den Nutzer regelmäßig daran erinnern möchte, dass es ihn aktiv vor vermeintlichen Gefahren aus dem Internet schützt, schließlich soll jener zukünftig erneut Geld für das nächste Update ausgeben.)
(...) und wälzt die Entscheidung "Fortsetzen oder Verbindung trennen" auf den Nutzer ab (anstatt einfach konsequent abzubrechen, denn wirklich beurteilen kann der durchschnittliche Nutzer das Problem ohnehin nicht und wird nur noch mehr dazu erzogen, Warnungen wegzuklicken).

Danke für deine Meinung. Vielleicht solltest du bei einer technischen Beschreibung bleiben und die Vorurteile und guten Ratschläge an Sicherheitssoftware-Hersteller an anderer Stelle posten und sie von einem technischen Beitrag trennen. Wie du ja selber einräumen musst, liegt der Fehler nicht bei Kaspersky.
Insofern finde ich deinen Beitrag unangemessen.

 

[shortrange]

Vorhin habe ich https://www.computerbase.de über mein Android-Smartphone mit dem Dolphin Browser aufgerufen (siehe https://play.google.com/store/apps/details?id=mobi.mgeek.TunnyBrowser&hl=de ).

Dort wurde mir ein Problem mit dem TLS- bzw. SSL-Zertifikat angezeigt, weil der Name der Webseite wohl nicht mit dem Namen im Zertifikat übereinstimmt (siehe Screenshot im Anhang).

Weiß jemand, wie das gelöst werden kann? Liegt es an meinem Gerät oder an der Webseite?

Vielen Dank.

 

[conf_t]

Liegt an deinem Browser.

mit *.computerbase.de ist auch www.computerbase.de abgedeckt. Passt alles. Vielleicht kommt dein Browser mit der Wildcard nicht klar und erwartet ein Zertifikate, dass nur "computerbase.de" enthält oder so. Ich bekomme mit keinem Browser die Fehlermeldung, weder mit Firefox, IE, oder auf meinem Windows Phone mit Edge.

 

[Minutourus]

Mein Kaspersky ist auch am meckern.... werde einen Screenshot nachhängen heute Abend aber ich glaube da stand nichts von *.computerbase.de