Kein SSL für buffed.de?

[ZAM]

Zam hätte auch sowas schreiben können: Vielen Dank für deinen Hinweis. Wir nehmen deinen Hinweis gerne mit und werden die Realisierung prüfen.

Hättest Du von einem aalglatten Dodge mehr gehabt?

 

Dass ein kompletter Aufruf über https:// wünschenswert ist, ist klar. Aber das ist am Ende nur ein kleines Spieleforum, es gibt Abhängigkeiten die man als Außenstehender nicht am Plan hat und es wird eben auch noch andere Prioritäten geben.

 

Also don't panic.

 

Und mal abgesehen davon, dass ich sogar erwähnt habe, dass wir das Thema durchaus auf dem Radar haben - Im Gegensatz zu dem was Scheuklappen-Teilnehmern sich gern mal einreden.

Wir sind uns bewusst, dass wir es noch einführen müssen und auch werden. Aber es hat aktuell einfach nicht die Priorität, um eben mal alle noch notwendigen Hürden anzupassen. Und wie hier schon festgehalten wurde, gibt es zudem keine unfreiwillig(!) übertragenen, brisanten Daten, die sich dazu noch außerhalb der bereits SSL-geschützten Bereiche befinden.

Und Profilbildung ist nicht mal im Ansatz das Problem von fehlender SSL-Verschlüsselungen - Dagegen ist man im Internet eh nicht geschützt, auch nicht nach DSGVO-Anpassungen. Maximal ePrivacy wird es erst etwas mehr erschweren. So leid es mir tut es in dem Zusammenhang erwähnen zu müssen, aber die geäußerte Angst vor Profilbildung ist ein Hinweis auf das Anhäufen von "Wissen" durch reines Hörensagen. Das würde ich jedoch durchaus ernster nehmen, wenn nicht irgendwelche haltlosen Behauptungen und Unterstellungen bzgl. "Interessiert offenbar nicht" vorangegangen wären.

 

[Aun]

wenn ich mir das zunehmende geflenne durchlese:

 

 

[Derulu]

Ich habe eben Kommentare gelöscht. Beiträge die offensichtlich der reinen Provokation der Gesprächsteilnehmer dienen, also beispielsweise bewusst ein Thema nieder machen sollen, sowie bewusst ausschließlich Offtopic darstellen sind nicht gestattet. Kritik ist erwünscht, jedoch in einem angemessenen Umgangston.

 

[Head-Crash]

Hallo,

 

ich finde, in 2018 noch plain http Services anzubieten, ist schon sehr gewagt. Schließlich ist das Thema ja auch nicht gerade neu und ein Multi-Domain-Zertifikat kostet auch nicht die Welt. Das Problem ist halt die Implementierung, wenn man möchte, daß auch danach noch alles funktioniert. Gerade auch Euer gutes Tool und Addon-Verwaltung, diverse Datennbanken und externe Komponenten mögen danach auch bitte weiterhin funktionieren.

 

Und da ist es mir dann schon lieber, wenn das als ordentliches Projekt durchgeführt wird und Ihr Raum zum Testen bekommt, weil das Ganze ist zwar keine Raketenwissenschaft, aber auch nicht trivial. Aber die Uhr tickt, im Chrome steht "nicht sicher" und das ist das, was der User sieht. 

 

Die Art und Weise und auch die Vergleiche, die in der vorangegangenen Konversation herangezogen wurden, geben mir persönlich jetzt auch nicht gerade das Gefühl, daß bei Euch hier ein großes Verständnis bzw. Sicherheitsbewusstsein vorherrscht. Vor gut fünf Jahren wurde über Eure Plattformen Schadcode (ich glaube, es ist über einen Werbedienstleister geschehen) verteilt und das war eine längere Geschichte und nicht innerhalb von Stunden bemerkt und behoben. Neben einem Redesign des Frontends wurde im Hintergrund gefühlt wenig verändert. 

 

Ich bin mir sicher, daß auf Euren Servern auch noch veraltete Komponenten laufen und da ist https dann auch egal. Irgendein Einfallstor gibt es immer und es sind doch nicht nur "wertlose" Daten. Es geht doch immer darum, was man mit solchen Daten später noch alles anstellen kann und das Ganze steht und fällt doch damit, die Daten irgendwie sinnvoll zu verknüpfen. Das ist mit der geballten Power der Cloud doch kein Problem. Irgendein Vorteil ergibt sich schon.  Wenn nicht heute, dann in der Zukunft. Und man merkt doch meistens gar nicht, wenn man ein Problem hat. Sichere Systeme gibt es nicht, deshalb ist Datensparsamkeit ja auch wichtig.

 

Das ist jetzt auch kein Problem, das nur Euch betrifft. Irgendwie laufen die Systeme ja und das Tagesgeschäft ist auch wichtig. Schließlich muß man Geld verdienen.

 

Deshalb geht es für mich durchaus in Ordnung, wie Ihr Eure Prioritäten setzt. Schließlich kann ja keiner entscheiden, Euer Angebot zu nutzen oder halt nicht.

 

Trotzdem würde ich so nicht mit Usern kommunizieren, die sich mit einem ernstgemeinten SIcherheitsanliegen an Euch wenden. Die nehmen sich Zeit, um mit Euch zu kommunizieren und Ihr antwortet mit lapidaren Antworten. Bitte entschuldigt hier meine harsche Kritik, aber jemanden Ernst zu nehmen geht anders. Ich würde nicht wollen, daß man meinen Kunden so vor den Kopf stößt. Wen interessiert es, wenn es in Timbuktu bei ähnlichen Rahmenbedingungen unter Zuhilfenahme von Aluhüten funktioniert? Wichtig ist doch, im Browser steht "nicht sicher", bei Google wird´s bald im Ranking eng und Ihr macht einen guten Job. Ich lese Euch immer gerne und deshalb surfe ich Euch auch mit http an. Und gerade Ihr habt die beste Infrastruktur verdient!

 

[MikolajPL]

Schließlich kann ja keiner entscheiden, Euer Angebot zu nutzen oder halt nicht.

Was?!? Der Besuch von buffed.de ist alternativlos? Ich habe es geahnt ...
Schöner Vertipper ...

 

[ZAM]

Ich habe dargelegt, warum die Seiten nicht vollständig auf SSL laufen. Mehr können wir darüber auch nicht sagen.

 

Wenn wir aber uns die Zeit nehmen um mit jedem Anfragenden ausführlich im Detail zu Pro und Contra zu diskutieren, würde die Zeit wegfallen, um die Prioritäten abzuarbeiten und damit zögert sich SSL-Anpassung auf unbekannte Zeit hinaus. Hier sitzen ja nicht dutzende von Entwicklern an den mittlerweile 15 Webseiten und der Infrastruktur, sondern nur ein kleines Team. :-)

 

Das, entschuldige, Geblubber von wegen Sicherheit nicht ernst zu nehmen, nehme ich übrigens nicht ernst. 

 

[spectrumizer]

Trotzdem würde ich so nicht mit Usern kommunizieren, die sich mit einem ernstgemeinten SIcherheitsanliegen an Euch wenden. Die nehmen sich Zeit, um mit Euch zu kommunizieren und Ihr antwortet mit lapidaren Antworten.


Wer sich mit ernst gemeinten Sicherheitsanliegen an uns wendet, wird mit Sicherheit auch ernst genommen.

Wer aber - wie zum Beispiel "Aldaria" - mit lapidaren und laschen Phrasen antwortet, aus einer Mücke einen Elefanten macht und offensichtlich Scheuklappen auf hat und für keine Argumente zugänglich ist, braucht sich nicht wundern, wenn die Antworten dann auf einem ähnlichen Niveau ausfallen.