Bug / Feature #813
closedhttps für Login auf Webressourcen der PP
100%
Description
Wenn ich mich im Wiki oder auf dem Webserver (PPS oder PPZH) anmelden möchte, wird das Login-Fenster auf einer http-Seite angezeigt.
Wenn ich dieses Formular in dieser Form ausfülle, wird mein Passwort unverschlüsselt übertragen und kann von einem Passwort-Sniffer ohne Probleme aufgefangen und in der Folge missbraucht werden.
Die Argumentation auf http://forum.piratenpartei.ch/viewtopic.php?f=162&t=2484 kann ich nicht nachvollziehen. Speziell das Argument "Anmeldungen können wie gesagt auf wunsch per SSL verschlüsselt werden - wir wollen es nur niemandem aufzwingen." erscheint mir nicht überzeugend.
Als Internetsurfer gehe ich davon aus, dass sich ein Login-Formular ausschliesslich auf einer Seite befindet, welche über https aufgerufen wurde. Ich kenne keinen seriösen Anbieter, welcher ein Login ohne https erlauben würde. Ganz im Gegenteil gehe ich davon aus, dass ein Login auf einer http-Seite auf eine hochgradig suspekten Anbieter schliessen lässt.
Gerade im Fall der PP bin ich (bis anhin) ganz selbstverständlich davon ausgegangen, dass einem ordentlichen Schutz eines solch hochgradig schützenswerten Guts wie einem Passwort eine sehr hohe Priorität eingeräumt wird. Entsprechend habe ich mich bisher nie darauf geachtet, ob die Login-Seite über https aufgerufen wird. Als Folge davon ist mein Passwort bisher, ohne dass ich das wollte und ohne dass mir das bewusst gewesen wäre, unverschlüsselt über das Internet verschickt worden.
Ich finde das in hohem Mass fahrlässig und ich bin äussest unzufrieden, dass ich nicht von Seiten der PP nachdrücklich auf diese Gefahr hingewiesen worden bin!
Wenn es um Sicherheit geht, müsst ihr von einem Worst-Case-Szenario ausgehen. SSL ist ein Muss, keine Option. Eine Warnmeldung, die weggeklickt werden muss, ist definitiv das kleiner Übel als ein unbewuss in Klartext verschicktes Passwort.
Ich bitte euch deshalb eindringlich um eine erneute Diskussion dieses Anliegens und um eine Lösung, welche den aufgeführten Sicherheitsbedenken entspricht.
Viele Grüsse
Benno
Updated by corvus almost 14 years ago
- Status changed from New to 9
Wir werden auf lange Frist ein Single Password oder sogar ein Single Login realisieren. Dies wird über einen mit einem offiziellem (kein self signed) Server realisiert. Bis es soweit ist müssen wir die bestehende Lösung beibehalten. Die uns bekannten Lösungen sind entweder für uns nicht zu bezahlen oder mit den zur Verfügung stehenden Ressourcen nicht so schnell zu realisieren.
Updated by admin almost 12 years ago
- Due date set to 12 March 2013
Automatically enforce due date for Low Priority after 60 days in the future
Updated by Apophis almost 12 years ago
- Status changed from Needs Work to Done
CAS gibt es nun für Drupal und Redmine, das Forum fehlt noch, ein Ticket dazu existiert, es magelt nur an einer Implementierung, daher diese Ticket auf done. Sie related tickets.
Updated by admin almost 12 years ago
- Assignee set to elbe
Automaticaclly enforce assigned-to to the author of the ticket
Updated by admin over 11 years ago
- Status changed from Done to Closed
Automatically close after 30 days