LET OP: site onveilig

[Emiel]

Hoi Kitesurfers,

Deze site is niet meer veilig. Log niet meer in op deze site, dan kunnen kwaadwillende je wachtwoord achterhalen.
Verander ook overal je wachtwoorden waar je hetzelfde wachtwoord gebruikt als op deze site. Dit geld ook voor hanglos.nl, die site is ook totaal niet veilig.

Dit heb ik een tijdje terug ook al aangegeven op hanglos: http://hanglos.nl/forum/waar-kiten/topics/1376/lac-de-serre-poncon-wie-gaat-er-heen.html
Een admin heeft daar aangegeven dat ze er snel wat aan gaan doen. maar bijna een maand later is er nog steeds niets gebeurd.
Ik hoop dat deze site wel sneller maatregelen neemt.

Ik ben overigens niet Emiel, maar wel dezelfde persoon als die het beveiligingslek op hanglos had ontdekt. Ik kan overigens op ieder willekeurig account inloggen. Ook nu ben ik geen kwaadwillend iemand. Maar doe er aub wel wat mee. Bij Hanglos doen ze het niet, wat schandalig is. Er zijn gewoon gegevens gelekt en ze gaan gewoon vrolijk door. Ik hoop dat kitehigh wel maatregelen neemt.

Groeten,

Niet Emiel maar iemand anders, en nogmaals ik heb geen kwaadwillende bedoelingen. Maar kijk uit en log niet meer in hier totdat het beter beveiligd is.

[Evan]

Gaat dit om het missen van https of is de server/code zelf het probleem?

[Roderick]

Oeh. het missen van https op een site waar je op kunt inloggen is inderdaad wel een vrij groot gat. Mocht je hem nog niet kennen, kijk eens op: https://letsencrypt.org/ Daar kun je ssl certificaten aanvragen, en zelfs automatisch laten verlengen zonder dat je er een rekening voor krijgt.

[Evan]

Beveiling staat inmiddels aan, nu de taak om alle hardcoded http-links in de code om te zetten naar https om van alle foutmeldingen af te komen.....

Zelf helaas weinig tijd om dat aan te pakken, dus als iemand zich geroepen voelt!

[damsko]

Een eerste stap is om in ieder geval deze header op alle responses mee te sturen. Dan gaan browsers vanzelf naar https ook al stuur je ze naar een onbeveiligd deel van de site: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Strict-Transport-Security

Als je toch je reverse proxy aan moet passen kun je ook gelijk alles dat op http binnen komt redirecten naar https. Aan de header te zien gebruik je Apache dus:
https://stackoverflow.com/questions/16200501/how-to-automatically-redirect-http-to-https-on-apache-servers

Die linkjes zou ik niet aan beginnen.