Berlin-Brandenburg-Biker.de

[Ron ✦✦✦✦]

In Zeiten allgegenwärtiger Angriffe auf die Integrität von IT-Systemen im Internet - sei es durch einen Versuch einzudringen oder auch nur durch das Abhören des Datenverkehrs kommt man an dem Thema "Verschlüsselung" nicht vorbei.

Deshalb wurde ein schon lange bestehender Wunsch jetzt erfüllt: das Forum ist mit allen seinen Komponenten (Forum, OnTour, Telefonliste, OSM-Karten, etc.) ab sofort nur noch mit Hilfe des Protokolls "https" (anstelle "http") erreichbar.

Was bedeutet das genau?

Für die tägliche Handhabung ändert sich eigentlich nicht viel. Das Forum wird wie bisher aufgerufen. Wenn man die Protokoll-Angabe weglässt- und auch wenn man "http://" voranstellt, wird dieser Präfix automatisch durch "https://" ersetzt. Im Browser wird dann in der Adresszeile das Symbol eines Vorhängeschlosses angezeigt.

Der Aufruf sieht also ab sofort so aus (dann ohne Leerzeichen):

https:// www . Berlin-Brandenburg-Biker . de

Wenn eine solche Verbindung zwischen Client und Server hergestellt wurde, spricht man von einer "sicheren" Verbindung, weil jeder Datenverkehr zwischen diesen beiden Endpunkten vollständig verschlüsselt wird. Das Wesen des Internets ist vor allem dadurch gekennzeichnet, dass es sich um ein dynamisches Netzwerk handelt, bei dem man nie davon ausgehen kann, dass zwischen Sender und Empfänger eine direkte Verbindung besteht. Vielmehr kann eine gesendete Nachricht über mehrere Rechner gelenkt werden und jeder dieser Rechner, der eine nicht für ihn bestimmte Nachricht nur weiterleiten soll, kann trotzdem die Ohren spitzen und alle durchlaufenden Daten speichern und später auf tausende Arten analysieren. Wird diese Nachricht aber verschlüsselt, hat ein solcher Angreifer keine Chance.

Nun ist so ein Forum wie das der BBB sicher kein hoch gefährderter Bereich. Aber dennoch: wenn z. B. eingegebene Passwörter im Klartext abgefangen werden und diese Passwörter identisch sind mit denen des Online-Bankings, wird sofort deutlich, dass ein Angriff sehr teuer werden kann. Und die letzten Jahre haben mehrfach gezeigt, dass auch solch ein "unwichtiges" Forum wie unseres das Ziel vieler Angriffe sein kann.

Inzwischen sind praktisch alle namhaften Internet-Seiten auf https umgestiegen. Zum Beispiel auch Wikipedia. Und warum? Immerhin wird dort ja nur allgemeines und öffentliches Wissen angeboten. Aber man hat festgestellt, dass in totalitären Regimen (China, Türkei, Russland) die Abfrage bestimmter Informationen (Ausreisewege, Asylbestimmungen eines anderen Landes, Widerstandsgruppen und deren Aktivitäten, bestimmte Persönlichkeiten, etc.) zu Repressionen des Staates führen kann.

Bisher war die Verwendung dieser sehr sicheren Methode der Verschlüsselung aller gesendeten und empfangenen Daten eine teure Angelegenheit. Die Verschlüsselung erfolgt über öffentliche und private Schlüssel auf Basis eines Zertifikates, das von einer anerkannten Autorität (Certificate Authority) ausgegeben wird. Solch ein Zertifikat kann schnell mehrere hundert Euro pro Jahr kosten, je nach Bekanntheit und Akzeptanz des Herausgebers und der Qualität der Identitätsfeststellung.

Wegen der bedrückenden Situation in manchen Erdteilen hat sich im Jahr 2015 die ISRG (Internet Security Research Group) gegründet, ein Konsortium einiger bedeutender global Player (Cisco, SAP, Google, Facebook, Mozilla), das sich auf die Fahnen geschrieben hat, die Verschlüsselung im Netz zum Standard zu machen und für die vielen kleinen Anwender (egal ob privat oder geschäftlich) solche Zertifikate unter dem Namen "Let's Encrypt" kostenlos anzubieten. Zudem ist die Erteilung, Signierung und Aktivierung der Zertifikate vollautomatisch möglich. Etwas nachteilig ist, dass es sich jeweils "nur" um ein Transport-Zertifikat handelt, bei dem lediglich der Hoster originär identifiziert wird und dieser seinerseits sicherstellen muss, dass ein beim ihm gehosteter Dienst identifiziert werden kann. Aber für unsere Zwecke ist das völlig ausreichend, denn die wichtigste Funktion ist die Verschlüsselung und weniger die Authentifizierung des Betreibers. Na ja … und dass ich (als Person) keine Erfindung eines bösen Betrügers bin, sondern ein sehr realer Mensch, davon könnt Ihr euch ggf. beim nächsten Stammtisch überzeugen.

Ein weiterer kleiner Nachteil ist, dass ein Zertifikat immer nur drei Monate gültig ist und danach verlängert werden muss. Die gute Nachricht dabei: dieser Vorgang ist ebenfalls vollautomatisch konzipiert und wird von unserem Hoster regelmäßig erledigt, ohne dass man etwas veranlassen muss. Das letzte Risiko ist, dass dieser Dienst in ferner Zukunft doch einmal Geld kosten kann. Für diesen Fall ist technisch vorgesorgt (fall-back) aber darum müssen wir uns erst kümmern, wenn es soweit ist.

Wer mehr Informationen zu diesem Thema haben möchte, dem sei ein Besuch bei Wikipedia empfohlen.

Gibt es weitere Konsequenzen?

Ja! Manche Browser reagieren sehr empfindlich, wenn man auf einer so gesicherten Seite plötzlich "unsichere Inhalte" zeigen möchte. Die "unsicheren Inhalte" sind Objekte fremder Seiten (z. B. Bilder), auf die nur unverschlüsselt zugegriffen werden kann. Deshalb dürfen solche Bilder im Forum nicht mehr verwendet werden. Wir haben hierfür schon einen wichtigen Schritt unternommen, denn es dürfen ohnehin nur noch Bilder dargestellt werden, die im Forum selbst gespeichert wurden. Diese Beschränkung gilt ab sofort auch für die Signaturen. In wenigen Fällen wurden dort gespeicherte Bilder entfernt. Zum Beispiel betraf dies die Verbrauchsanzeige für das eigene Motorrad. Die Betroffenen werden per PN informiert.

Empfehlenswert ist es noch, alle gespeicherten Links auf das Forum (Homepage, Telefonliste, Mobil-Version, etc.), sei es auf dem Desktop, Laptop, Notebook wie auch auf dem Tablet und Smartphone auf den Präfix "https://" anzupassen. Manchmal wird sonst der Start verweigert. Bei dieser Gelegenheit: der Start auf dem Smartphone sollte immer mit der Adresse

https:// www . m. Berlin-Brandenburg-Biker . de

erfolgen, damit sofort der Mobil-Modus eingestellt wird. (Dann natürlich ohne die hier gebrauchten Leerzeichen.)

Im Zuge der Umstellungsarbeiten wurde übrigens das automatische Login gekappt. Es liegt nicht nur im Interesse des jeweiligen Anwenders, sondern auch im Interesse des Forums, dass ein so geöffnetes Einfallstor für einen Missbrauch geschlossen wird. Der Mehraufwand, künftig beim Login immer auch den Nicknamen und das Passwort einzugeben, sollte ein vertretbarer Aufwand sein.

Die Umstellungsarbeiten hatte es in sich. Nicht nur eine zweiwöchige Vorbereitung sondern auch ein ca. 24-stündiger Shutdown waren hierfür nötig. Wie immer gilt: Software ist nie fehlerfrei. Wenn Ihr also Merkwürdigkeiten findet oder richtig heftige Fehler, dann wäre ich für einen zügigen Hinweis (am besten mit Hardcopy) per PN dankbar. Insbesondere, wenn zum Beispiel die oben erwähnte Fehlermeldung mit den "unsicheren Inhalten" auftaucht. Soweit mir möglich habe ich alles getestet. Aber man weiß ja nie - und irgendwas ist ja immer.

Ansonsten viel Spaß beim künftig "verschlüsselten" Verkehr.

Gruß Ron
_________________
Wer nicht gelebt hat, der kann auch nicht sterben.

www.RonGS.de

[Ron ✦✦✦✦]

Noch eine Anmerkung: in der Anmeldebox wird ein paar Tage vor dem Termin ja immer eine Wetter-Karte eingeblendet. Der Anbieter hierfür musste gewechselt werden, weil der vorherige keinen "https"-Zugang hatte. Der jetzige hat es. Allerdings ist die Karte nicht mehr wie vorher auf das Zieldatum zugeschnitten (vorher sah man immer genau den Tag des Events), sondern es wird jetzt eine allgemeine Karte gezeigt vom jeweils aktuellen Tag plus die kommenden drei Tage.

Gegenwärtig ist das bei der Planung des kommenden Stammtischs zu sehen.

Gruß Ron
_________________
Wer nicht gelebt hat, der kann auch nicht sterben.

www.RonGS.de