PCGH.de mit HTTPS: SSL-Umstellung noch heute [Update]
Jetzt aktualisiert: Voraussichtlich heute im Laufe des Tages werden Schritt für Schritt alle Bestandteile der PCGH-Webseite, also PCGH.de und auch PCGH Extreme, auf SSL-Verschlüsselung umgestellt. Für etwaige Probleme bei der Umstellung bitten wir um Nachsicht.
Aktualisierung: Die kritischen Schritte für die SSL-Umstellung sind soweit abgeschlossen, auch unser Forum ist jetzt auf HTTPS umgestellt. Aktuell arbeitet die Technik einige Aufträge ab, die sich im Zuge der Umstellung ergeben haben. Ab morgen Mittag können User gerne Probleme hier direkt im Kommentarthread melden.
Heute im Laufe des Tages werden alle Computec-Webseiten, darunter auch PCGH.de und PCGH Extreme, auf SSL-Verschlüsselung umgestellt. Das bedeutet, dass die PCGH-Seiten nach der Umstellung nur noch per HTTPS und nicht mehr per HTTP aufrufbar sein werden. Im ersten Schritt wird PCGH.de auf SSL umgestellt und damit auch in Browsern als "sicher" dargestellt. Im zweiten Schritt kommen dann die Foren dran, darunter auch PCGH Extreme. Geplant ist, heute alle nötigen Umstellungsarbeiten durchzuführen. Sollte es Probleme bei der Umstellung geben, bitten wir um Nachsicht. Die Kollegen aus der Technik prüfen permanent durch Logfile- und Servermonitoring, ob alles korrekt läuft.
Quelle: PC Games Hardware
PCGH.de mit HTTPS
Sobald diese erste Phase korrekt abgeschlossen ist und es keine Fehler mehr gibt, schließen sich weitere, interne Phasen der SSL-Umstellung an, von denen Sie als User aber eigentlich nichts mitbekommen. Geplant ist, dass bis Anfang Juni alle Tuning-Maßnahmen umgesetzt sind und auch alle Sicherheitsaspekte berücksichtigt werden. Die Performance der Webseiten soll durch die SSL-Verschlüsselung erst einmal nicht wesentlich beeinträchtigt werden. Es kann aber sein, dass der erste Verbindungsaufbau etwas länger dauert als gewohnt, da der Client zunächst die Gültigkeit der Zertifikate bei der Zertifizierungsstelle überprüft.
Wikipedia zu HTTPS
Diesen Nutzen sieht Wikipedia bei HTTPS:
HTTPS wird zur Herstellung von Vertraulichkeit und Integrität in der Kommunikation zwischen Webserver und Webbrowser (Client) im World Wide Web verwendet. Dies wird unter anderem durch Verschlüsselung und Authentifizierung erreicht.Ohne Verschlüsselung sind Daten, die über das Internet übertragen werden, für jeden, der Zugang zum entsprechenden Netz hat, als Klartext lesbar. Mit der zunehmenden Verbreitung von offenen (d. h. unverschlüsselten) WLANs nimmt die Bedeutung von HTTPS zu, weil damit die Inhalte unabhängig vom Netz verschlüsselt werden können.
Die Authentifizierung dient dazu, dass beide Seiten der Verbindung beim Aufbau der Kommunikation die Identität des Verbindungspartners überprüfen können. Dadurch sollen Man-in-the-Middle-Angriffe und teilweise auch Phishing verhindert werden.

Auch die Konfiguration unserer Origin-Server (Traffic von uns zu CloudFlare) richtet sich danach - es gibt leider noch ein paar Bots und Crawler, die wir aus Gründen dulden müssen; als News-Webseite mit eher wenig sensiblem Traffic (wir sind weder eine Bank, noch WikiLeaks, wickeln auch keinerlei Zahlungsverkehr über unsere eigenen Hosts ab) wollen wir außerdem ältere Clients nicht unnötigerweise aussperren. Die TLS 1.3 Suites sind alle sicher, bei TLS 1.2 haben wir eine Präferenz nach Sicherheit und Performance gesetzt - die erste schwächere Suite kommt erst an dritter Stelle, so ziemlich alle für normale User relevanten Clients werden sicher schon vorher bedient, unsichere Suites sind allesamt deaktiviert.
Viele Grüße
Markus
Zur Ergänzung: SSL Server Test: www.pcgameshardware.de (Powered by Qualys SSL Labs) - gibt uns ein A-Rating (wie auch unseren Kollegen bei golem.de), insofern denke ich, dass wir (bzw. CloudFlare für uns) die Hausaufgaben hinsichtlich der Ciphers soweit zufriedenstellend gemacht haben. Wir werden nach erfolgreichem Abschluss der Testphase dann auch HSTS anschalten, was die allgemeine Sicherheit der Verbindung noch weiter erhöht.
Noch eine Ergänzung zur Verteilung der TLS-Versionen bei pcgameshardware.de über die letzten 24 Stunden:
TLS 1.0: 27.291 Requests
TLS 1.1: 3.580 Requests
TLS 1.2: 4.950.228 Requests
TLS 1.3: 10.554.392 Requests
0,18% sind vielleicht nicht viel, aber dennoch ein Grund, das nicht abzuschalten.
Wir haben ein A+ Rating, ok wir haben auch höhere Ansprüche an Sicherheit. Allerdings haben wir nicht mal mehr TLS 1.1 aktiv und das obwohl viele Kunden noch den IE nutzen. Best Practice würde ich TLS 1.0 aber wirklich nicht nennen.
Can I use... Support tables for HTML5, CSS3, etc
Aber gut ihr seid auf anderer Seite auf Crawler und Bots angewiesen.. denn nur davon können die 27.291 Requests kommen ^^
Ein A Rating ist aber auch schon Klasse!
Freut mich auf jeden Fall das die Verschlüsselung funktioniert und hoffe das mein Passwort nicht im Klartext gespeichert ist ^^
Hier mal ne kleine Hilfe: Generate Mozilla Security Recommended Web Server Configuration Files
Auch die Konfiguration unserer Origin-Server (Traffic von uns zu CloudFlare) richtet sich danach - es gibt leider noch ein paar Bots und Crawler, die wir aus Gründen dulden müssen; als News-Webseite mit eher wenig sensiblem Traffic (wir sind weder eine Bank, noch WikiLeaks, wickeln auch keinerlei Zahlungsverkehr über unsere eigenen Hosts ab) wollen wir außerdem ältere Clients nicht unnötigerweise aussperren. Die TLS 1.3 Suites sind alle sicher, bei TLS 1.2 haben wir eine Präferenz nach Sicherheit und Performance gesetzt - die erste schwächere Suite kommt erst an dritter Stelle, so ziemlich alle für normale User relevanten Clients werden sicher schon vorher bedient, unsichere Suites sind allesamt deaktiviert.
Viele Grüße
Markus
Zur Ergänzung: SSL Server Test: www.pcgameshardware.de (Powered by Qualys SSL Labs) - gibt uns ein A-Rating (wie auch unseren Kollegen bei golem.de), insofern denke ich, dass wir (bzw. CloudFlare für uns) die Hausaufgaben hinsichtlich der Ciphers soweit zufriedenstellend gemacht haben. Wir werden nach erfolgreichem Abschluss der Testphase dann auch HSTS anschalten, was die allgemeine Sicherheit der Verbindung noch weiter erhöht.
Noch eine Ergänzung zur Verteilung der TLS-Versionen bei pcgameshardware.de über die letzten 24 Stunden:
TLS 1.0: 27.291 Requests
TLS 1.1: 3.580 Requests
TLS 1.2: 4.950.228 Requests
TLS 1.3: 10.554.392 Requests
0,18% sind vielleicht nicht viel, aber dennoch ein Grund, das nicht abzuschalten.