Návrh na zlepšení zabezpečení ČEPEKu

[Yuta]

Chtěl bych poprosit administrátora stránek, aby fórum upravil tak, aby nedocházelo k přesměrování z HTTPS na HTTP. Už takhle je obtížné kontrolovat správnost self-signed certifikátu hostingu, ale kontrolovat zdrojový kód každého odkazu je mnohem víc vyčerpávající. Stačí u každého absolutního odkazu vyměnit "http://www" za "://www", prohlížeč si protokol vybere sám.

Tohle přesměrování se děje např. pokud kliknu na odkaz "vrátit n předchozí stránku" po přihlášení, pokud chci zobrazit náhled příspěvku na fóru, občas mě to samo odhlásí nebo přesměruje na http...

Samozřejmě by bylo nejlepší, kdyby si ČEPEK pořídil validní certifikát, za cenu nižší než cena .sk domény je možné koupit např. na https://crt.simplia.cz/. Myslím si, že nejsem jedinný, kdo sem leze přes TOR, a bez https se třeba na chat prostě nedá chodit.

Chápu, že si nemůžu dovolit žebrat o certifikát, aniž bych se nabídl, že ho zaplatím, ale momentálně na to prostě bohužel nemám. Tak prosím alespoň o opravu těch odkazů.

[Marco Freeman]

Na fórum a chat lezu z TORu velmi často. Ještě jsem nezaznamenal žádný problém, který by mi prohlížení přes TOR nějak blokoval.

Je fakt, že při přihlášení na fóru zakliknu v TORu "neodhlašovat", čímž to mám naprosto vyřešené a nijak mě to neodhlašuje, ani když zobrazím náhled příspěvku či podobně.

[Yuta]

Na fórum a chat lezu z TORu velmi často. Ještě jsem nezaznamenal žádný problém, který by mi prohlížení přes TOR nějak blokoval.

Je fakt, že při přihlášení na fóru zakliknu v TORu "neodhlašovat", čímž to mám naprosto vyřešené a nijak mě to neodhlašuje, ani když zobrazím náhled příspěvku či podobně.

Problém je v tom, že musíš bezmezně důvěřovat exit nodu. Už bylo několikrát prokázáno [1], že všechny exit nody nejsou úplně "čisté". V praxi to znamená, že pokud máš povolený javascript (u chatu nutnost), tak ti exit node může do stránky podstrčit cokoliv. V nejlepším případě jenom reklamu [2], v horším případě zjistí tvojí reálnou IP adresu [3] (a celý smysl TORu je k ničemu), v nejhorším případě ti pošle 0-day exploit [4]. S HTTPS ti podstrčit nic nemůže, maximálně tak podvržený certifikát (což je problém právě u nevalidního certifikátu). I tak hrozí třeba ssl-stripping, ale bez certifikátu se s tím nic udělat nedá (pak to lze řešit třeba HSTS + přidání do globálního seznamu HSTS enabled websites nebo případně přidání na seznam HTTPS evherywhere).

[1] https://trac.torproject.org/projects/tor/wiki/doc/badRelays
[2] http://tor-talk.torproject.narkive.com/uVGOrcuc/banners-injected-in-web-pages-at-exit-nodes-trhcourtney
[3] https://trac.torproject.org/projects/tor/ticket/5741
[4] https://thehackernews.com/2013/08/Firefox-Exploit-Tor-Network-child-pornography-Freedom-Hosting.html

[Teenbl]

No Tor v tomto kontextu opravdu moc neřeší. Vzhledem k tomu, že znám kamaráda, co nějaký čas provozoval exit-node toru, tak vím, že odchytávat to fakt není absolutně žádný problém. Na druhou stranu si ovšem nemyslím, že je nutnost chodit na zrovna čepek pod torem. Ideální řešení by byl vlastní ssl certifikát, ovšem myslím, že tady jsou mnohem větší problémy technického rázu k řešení, než je https. Zmíněného problému jsem si všiml jen několikrát, po přihlášení tento problém nemám.

[Kasz]

Chtěl bych poprosit administrátora stránek, aby fórum upravil tak, aby nedocházelo k přesměrování z HTTPS na HTTP.

Tomu bohužel nerozumím, fórum jede, jak má, chodím na něj buď přes Tor nebo přes Katedrálu, a jsem spokojený. Žádného IT v administačním týmu momentálně nemáme. V plánu je přechod na vyšší verzi fóra, ale to vyžaduje čas někoho, kdo si s tím dá práci. Samozřejmě to nemůže být jen tak někdo, ale musí to být někdo důvěryhodný, to je asi ten největší problém ČEPEKu. Druhý největší problém ČEPEKu je čas. Bohužel v mých časových možnostech jakékoliv technické úpravy provozu webu nejsou, prostě se tomu nemůžu věnovat, den má jen 24 hodin a rok má jen 365 dní. Třeba se jednou najde někdo technicky zdatný a důvěryhodný, kdo se bude o tyhle technikálie starat.

[Marco Freeman]

Problém je v tom, že musíš bezmezně důvěřovat exit nodu.

Nemusím. ČEPEK není nějaká nelegální stránka, byl dokonce prověřen policií ČR, a to s tím verdiktem, že zde není nic protizákonného. Spousta z nás sem chodí ze své reálné IP, či ze školy, z práce. Jistě, když jsem mimo domov, je na místě nějaká ta opatrnost, ale zase u této stránky to absolutně nehrotím (a to ani u jiných, jelikož žádnou nelegální nesleduji). A ani hrotit nebudu.

A jak řekl Teenbl, je zde mnoha jiných podstatnějších problémů, které se musí řešit. A asi ani není dostatek času, jak psal Kasz.

[Yuta]

Nemusím. ČEPEK není nějaká nelegální stránka, byl dokonce prověřen policií ČR, a to s tím verdiktem, že zde není nic protizákonného.

Myslel jsem to tak, že musíš důveřovat, že ti exit node do stránky nepodstrčí malware. Když stahuješ přes nešifrované spojení HTTP, tak ti exit node může stránku nebo skripty jakkoliv upravit. Pokud máš (na chatu) povolený JS, tak je prohlížeč zranitelnější. Nejde o prozrazení identity, ale o bezpečnost počítače.

odchytávat to fakt není absolutně žádný problém

Právě s platným HTTPS certifikátem by to měl být problém dost velký na to, aby to jednoduše nešlo.

Tomu bohužel nerozumím

Ano, to chápu.. I když nasazení SSL/TLS je celkem jednoduché a mám pocit, že ho nabízí i webhosting ČEPEKu jako službu.

Ale samozřejmě, nemám právo si tady cokoliv nárokovat, když k tomu sám nepřispěju. Jenom by bylo fajn s tím třeba nějak do budoucna počítat...

P.S.: Možná, pokud mi zbude fakt enormní množství volného času, tak bych mohl udělat chat klienta, který nebude vyžadovat javascript. Ale tenhle rok to ještě určitě nestihnu.. :\

[I9II]

certy pro jednu domenu se daji poridit zdarma. zalezi na podpore hostingu. maji sice nektera omezeni ale who care.
jinak ti doporucuji pouzivat vpn nebo proxy. tvym obavam sem chodit naprimo docela rozumim, kdyz zdejsiho admina nikdy nikdo nevidel. alespon co ja vim

[Allein]

tvym obavam sem chodit naprimo docela rozumim, kdyz zdejsiho admina nikdy nikdo nevidel. alespon co ja vim

Koho myslíš? Kasze?

[I9II]

joking? marca

[Allein]

Marco není admin, proto mě to zmátlo. Nevím, jestli se s někým sešel. Ale pokud je na pozici, na jaké je, zjevně si důvěru něčím vysloužil. Takže v něj mám stejně silnou důvěru, jako v ostatní moderátory, a je mi celkem jedno, jestli se s někým sešel nebo ne.

[Marco Freeman]

kdyz zdejsiho admina nikdy nikdo nevidel. alespon co ja vim

Jelikož je tady "pan admin" sotva rok, tak myslí, že má na nějaké srazy vcelku čas. Raději jsem s dětmi než s pedofily. Mimo jiné, když se s někým sejdu, tak bude ČEPEK poslední místo, kam bych to psal. Takže se stejně nedozvíš, zda jsem se s někým sešel nebo ne.

[I9II]

tobe to byt jedno muze, dyt ani nejsi pedofilni

[I9II]

kdyz zdejsiho admina nikdy nikdo nevidel. alespon co ja vim

Jelikož je tady "pan admin" sotva rok, tak myslí, že má na nějaké srazy vcelku čas. Raději jsem s dětmi než s pedofily. Mimo jiné, když se s někým sejdu, tak bude ČEPEK poslední místo, kam bych to psal. Takže se stejně nedozvíš, zda jsem se s někým sešel nebo ne.

no, drive to byla kaszova zasada...

[Marco Freeman]

tobe to byt jedno muze, dyt ani nejsi pedofilni

Možná není pedofilní, ale i tak je uživatel ČEPEKu jako každý jiný, navíc čestný člen ve skupině ČEPEK a moderátorka na chatu. Mezi tím, jestli je nebo není pedofilně orientovaná, a tím, zda je jí jedno, zda se s někým odtud scházím, moc souvislost nevidím.

no, drive to byla kaszova zasada...

Někdy se zásady mění. Někdy je lepší dát na pocit, než na pevně stanovená pravidla. A mimo jiné, co ty víš, zda mě zná nebo ne. Proč bychom ti říkali, kdyby ano? Myslím, že naše srazy jsou naše věc.

A ty máš na výběr buď tady být, a smířit se s tím, jaké moderátory tu máš, nebo se s tím nesmířit a třeba zamířit jinam, kde ti bude vedení vyhovovat víc.

Přeji hezký den,
Marco F.

[I9II]

souvislost je takova, ze kasz posuzoval duveryhodnost v realu a u tebe dal jen na pocit z psani. coz potom je otazka jestli usoudil spravne. toto se tyka nas vsech kteri tu maji v zaznamech osobni informace, kteri zde plne duverovali vedeni. a shillein muze byt jako nepedofilce docela jedno jak je zde kdo duveryhodny, alespon relativne.

jestli bylo lepsi dat na pocit ze psani nez na zasady, o tom bych si nebyl az tak jisty.

[Kasz]

Není to má zásada. S Gabrielem Svobodou jsem se taky nikdy nesetkal.

shillein muze byt jako nepedofilce docela jedno jak je zde kdo duveryhodny, alespon relativne.

Shillen to určitě jedno není, protože určitě by chtěla bezpečí i pro svého přítele, který je zde adminem. Mezi to se tedy počítá i doporučení, zda ten či onen je důvěryhodný pro to dělat moderátora/admina.

[I9II]

hm a ja si celou dobu myslel ze to je jinak...
ale prece jenom u gabriela to chapu vic kdyz zalozil gl forum

[Allein]

Ale Marca neznáš, tak to nemůžeš ani moc posoudit. To ale neznamená, že ho neznají jiní. Pokud má titul moderátora, je pro to důvod. Je důvod, proč se takto Kasz rozhodl. Ale to je jeho důvod, nemá proč ho sdělovat ostatním. Podívej, buď důvěřuješ nebo nedůvěřuješ. To je na tobě.

Marco tady udělal spoustu práce. A určitý čas věnuje fóru každý den. Bez něj by to tady mohlo vypadat o dost hůř. Nebo by například nebyla hotova poradna na fóru, obrázkové přílohy by nebyly změněny na IMG tagy, ... (Což byly hodiny a hodiny práce.) Má tady dost práce a svoji pozici bere zodpovědně.

Musíš to tak brát. Jednou je ve vedení, jednou něco na fóru dělá. To už nezmeníš. Ani pro změnu není důvod.

[I9II]

Porad to ale muze byt pro nekoho duvod neduverovat. Na tom nic nezmenis.