News In eigener Sache: ComputerBase nutzt jetzt durchgehend HTTPS und HTTP/2

[Kaliban]

Ich habe das selbe Problem mit Kaspersky.

 

[Chefkoch]

Wollte es gerade reproduzieren - gleicher Browser (Dolphin V11.5.7) auf einem Note 4 mit Android 6 - keine Fehlermeldung.

Ich habe den Thread mal in den Feedback bereich verschoben...

 

[Minutourus]

Also bei mir ist es nur am PC, Android ist fehlerfrei....

 

[Steffen]

Vorhin habe ich https://www.computerbase.de über mein Android-Smartphone und dem Dolphin Browser aufgerufen (siehe https://play.google.com/store/apps/details?id=mobi.mgeek.TunnyBrowser&hl=de ).

Dort wurde mir ein Problem mit dem TLS- bzw. SSL-Zertifikat angezeigt, weil der Name der Webseite wohl nicht mit dem Namen im Zertifikat übereinstimmt (siehe Screenshot im Anhang).

Komisch. Mit unserer TLS/SSL-Konfiguration ist alles in Ordnung (https://www.ssllabs.com/ssltest/analyze.html?d=computerbase.de&s=87.230.75.2). Chefkoch schreibt weiter oben, dass das Problem bei ihm in Dolphin nicht auftritt. Nutzt du die neueste offizielle Version des Dolphin-Browsers oder ist deine Version alt oder in irgendeiner Weise verändert worden? Und: Tritt das Problem bei jedem Seitenaufruf auf oder nur manchmal?

Mein Kaspersky ist auch am meckern.... werde einen Screenshot nachhängen heute Abend aber ich glaube da stand nichts von *.computerbase.de

Ich habe das selbe Problem mit Kaspersky.

Die Kaspersky-Sache ist was anderes. Unser Vermarkter sucht noch nach einer Lösung, der letzte Stand steht hier: https://www.computerbase.de/forum/t...https-und-http-2.1595421/page-8#post-18960312 Wir müssen leider noch um etwas Geduld bitten.

 

[Cool Master]

Auch wenn es etwas OT ist denke ich kann man darauf eingehen

Danke für deine Meinung. Vielleicht solltest du bei einer technischen Beschreibung bleiben und die Vorurteile und guten Ratschläge an Sicherheitssoftware-Hersteller an anderer Stelle posten und sie von einem technischen Beitrag trennen. Wie du ja selber einräumen musst, liegt der Fehler nicht bei Kaspersky.
Insofern finde ich deinen Beitrag unangemessen.

Ich äußere ja auch mal gerne Kritik gegen CB aber unangemessen? Der ist vollkommen richtig und sachlich! Kaspersky und andere Hersteller leben eben von Lizenzen und dafür muss eben auch gezeigt werden "Ey, User, wir haben da was für dich geblockt". Wie Steffen richtig schrieb ist das normale Verhalten einfach Laden abbrechen. Wenn man im Browser nun Debuging an hat würde man den Fehler sehen ansonsten würde einfach nichts kommen und genau so soltle es auch sein.
Liegt nun ein "Fehler" von Kaspersky vor? Nein. Ist das Vorgehen super? Nein! Die meisten Leute wissen nicht mal was SSL oder TLS überhaupt bedeutet vor allem die DAUs da draußen und diese sollte man nicht mit solchen Nachrichten verunsichern.

 

[frkazid]

Ich schreib es einfach mal hier, weil es erst seit der Umstellung aufgetaucht ist:

Wenn ich mit dem Edge Mobile den Ticker ansurfe, springt das Bild sporadisch nach unten und zeigt die meistgelesenen News und die letzte Werbeeinblendung an.

Konnte es bisher leider nicht reproduzieren. Meistens nach einem Start des Edge und dem ersten ansurfen der Seite.

Lg

 

[shortrange]

@shortrange: Komisch. Mit unserer TLS/SSL-Konfiguration ist alles in Ordnung (https://www.ssllabs.com/ssltest/analyze.html?d=computerbase.de&s=87.230.75.2). Chefkoch schreibt weiter oben, dass das Problem bei ihm in Dolphin nicht auftritt. Nutzt du die neueste offizielle Version des Dolphin-Browsers oder ist deine Version alt oder in irgendeiner Weise verändert worden? Und: Tritt das Problem bei jedem Seitenaufruf auf oder nur manchmal?

Es handelt sich um den offiziellen Dolphin Browser aus dem Google Play Appstore. Es ist die Version V11.5.6 (Jetpack: integriert). Am Browser wurde nichts verändert.

EDIT: Es funktioniert wieder. Die Fehlermeldung zum Zertifikat tritt jetzt nicht mehr auf.
Allerdings werde ich den Dolphin Browser in Zukunft wohl nicht mehr nutzen, da man gezwungen wird, die App "Dolphin YeeCloud Translate" zu installieren. Ein absolutes No-go. Siehe dazu auch diesen Artikel: http://www.theregister.co.uk/2016/07/06/dolphin_fans_freak/

 

[Md14493]

Hallo zusammen,
vielleicht kann mir jemand weiter helfen:
Vermutlich seit der Komplettumstellung auf HTTPS und HTTP/2 von CB nervt mich Kaspersky Internet Security 2016 und zeigt bei jedem Aufruf der Seite dass eine SSL-Verbindung mit ungültigem Zertifikat besteht und dass Kaspersky die Verbindung getrennt hat. Kann ich die Meldung irgendwie in Kasperksy filtern oder sonstiges? Die Website ist trotzdem voll funktionsfähig.

Gruß
Markus

 

[Steffen]

Ich bin relativ zuversichtlich, dass wir die Ursache der Kaspersky-Warnungen gefunden und beseitigt haben. Es wäre schön, wenn ihr das in den nächsten Stunden und Tagen beobachten und uns Feedback geben könntet!

Falls ich Recht habe, dann lag es an einem Preconnect-Hint für cdn.adnxs.com in unserem HTML-Code, der die Performance der Anzeigen-Auslieferung verbessern sollte:

<link rel="preconnect" href="https://cdn.adnxs.com">

D'oh!

 

[Black2007]

Kann bestätigen, dass keine Zertifikatswarnung mehr kommt.

Gruß Nico

 

[Shadow86]

...and it's gone!

 

[Steffen]

Sehr schön!

Dann abschließend nochmal sorry für den blöden Fehler und die daraus resultierenden Umstände.

Ich habe mal ein bißchen in unseren Monitoring-Daten gewühlt:

Früher hieß es ja oft, dass durch HTTPS die CPU-Last des Servers enorm steige. Nun, da etwas über eine Woche seit unserer HTTPS-Umstellung vergangen ist, können wir sagen, dass es in unserem Fall keine signifikante Zunahme der CPU-Last zu verzeichnen gibt. Der Load Average lag im Durchschnitt der letzten 9 Tage bei 0,65 und in den Wochen zuvor bei 0,64. Da halbwegs aktuelle CPUs einige für Verschlüsselung wichtige Funktionen in Hardware implementiert haben (https://en.wikipedia.org/wiki/AES_instruction_set), war das aber auch nicht anders zu erwarten.

Was wir beobachten, ist, dass die Anzahl der gleichzeitig offenen HTTP-Verbindungen zu unserem Server von rund 3600 auf rund 2700 gefallen ist. Das ist eine Auswirkung von HTTP/2, das dank Multiplexing eine einzige Verbindung zwischen Browser und Server effizient nutzen kann (anstatt dass jeder Browser mehrere parallele HTTP/1-Verbindungen zu demselben Server aufbauen muss, um eine akzeptable Performance zu erzielen).

 

[Miuwa]

Für die weniger versierten unter uns: Was war jetzt das Problem mit diesem preconnect hint?

 

[Der-Orden-Xar]

SDer Load Average lag im Durchschnitt der letzten 9 Tage bei 0,65 und in den Wochen zuvor bei 0,64. Da halbwegs aktuelle CPUs einige für Verschlüsselung wichtige Funktionen in Hardware implementiert haben (https://en.wikipedia.org/wiki/AES_instruction_set), war das aber auch nicht anders zu erwarten.

Sag doch sowas nicht, am Ende müssen gewisse uneinsichtige (Trolle?) im heise-forum noch weinen

So nebenbei: Das A+ bei ssllabs ist wieder verworfen oder warum fehlt der hsts-header wieder?

 

[Steffen]

Für die weniger versierten unter uns: Was war jetzt das Problem mit diesem preconnect hint?

Mit einem Preconnect-Hint kann man neue Browser dazu auffordern, spekulativ eine Verbindung zu einem bestimmten Server aufzubauen, wenn die vermutlich im Laufe des Ladevorgangs noch gebraucht wird. Sobald sie tatsächlich gebraucht wird spart das dann etwas Zeit. Im konkreten Fall hat der Preconnect-Hint dazu geführt, dass der Browser eine HTTPS-Verbindung zu cdn.adnxs.com versucht hat aufzubauen, was aber nicht geklappt hat, weil dieser Host für HTTPS nicht korrekt konfiguriert ist. Normalerweise brechen Browser diesen Verbindungsaufbau dann einfach stillschweigend ab. Kaspersky hat, wie in einem meiner vorigen Beiträge beschrieben, eine prominente Warnung angezeigt. Im Zuge der HTTPS-Umstellung hätten wir diesen Preconnect-Hint auf secure.adnxs.com ändern müssen. Das ist jetzt nachträglich geschehen.

So nebenbei: Das A+ bei ssllabs ist wieder verworfen oder warum fehlt der hsts-header wieder?

Der ist noch da und war auch nie weg.

 

[Der-Orden-Xar]

Dann sag das mal SSL-Labs, da seh ichs nicht mehr

Aber ich bin begeistert, dass ich keinen Performenzeunterschied trotz TLS auf meinem kleinen Windows Phone 8.1 mit IE11 bemerke

 

[Steffen]

Der Host "computerbase.de" führt eine 301-Weiterleitung zu "www.computerbase.de" durch und dabei wird kein HSTS-Header gesendet. Der HSTS-Header wird erst von "www.computerbase.de" gesendet. Deshalb hat SSLLabs den HSTS-Header beim Orüfen von "computerbase.de" nicht (mehr?) gesehen. Ich habe den SSLLabs-Link in der News jetzt auf "www.computerbase.de" korrigiert.

https://www.ssllabs.com/ssltest/analyze.html?d=www.computerbase.de&s=87.230.75.2

Jetzt wird HSTS erkannt, mit dem Hinweis "TOO SHORT (less than 180 days)".

Danke für den Hinweis!

 

[o_0]

Mal eben mein großes Lob aussprechen: Vorbildhaft!

 

[Pitt_G.]

Hab ich eigentlich schon gesagt, HTTPS macht das Web unsicherer, wenn damit vorgeschaltene Virenscanner den Viren Schrott nicht mehr rausfiltern können, ohne den Tunnel aufzubrechen.
Sprich eigentlich wird's damit unsicherer, und es gilt für Malware Schreiber nur noch die Sicherheitsmechanismen am Client PC auszuschalten...

 

[riloka]

Was macht den Virenscanner am Übergabepunkt ins Internet besser als den auf meinem PC?