Вариант для распечатки		Пред. тема | След. тема
Форум Диалог с администрацией проекта
Изначальное сообщение		[ Отслеживать ]

"HTTPS by default на opennet.ru"	+/–
Сообщение от aim (ok), 15-Сен-19, 13:11
Доброго времени суток! Я тут с удивлением обнаружил что opennet позволяет работать с сайтом по http, не по https. С какой целью это сделано и будет ли исправлено?
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по времени | RSS]

1. "HTTPS by default на opennet.ru"	+/–
Сообщение от Maxim Chirkov (ok), 15-Сен-19, 19:07
> Я тут с удивлением обнаружил что opennet позволяет работать с сайтом по > http, не по https. С какой целью это сделано и будет > ли исправлено? Это принципиальная позиция. Каждый решает сам использовать HTTP или HTTPS, без навязывания. При входе по HTTP в заголовке выводится предупреждение с предложением открыть страницу по HTTPS. Подробнее см. последний пункт в http://wiki.opennet.ru/ForumHelp#FAQ
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	2. "HTTPS by default на opennet.ru"	–1 +/–
	Сообщение от aim (ok), 16-Сен-19, 00:34
	>> Я тут с удивлением обнаружил что opennet позволяет работать с сайтом по >> http, не по https. С какой целью это сделано и будет >> ли исправлено? > Это принципиальная позиция. Каждый решает сам использовать HTTP или HTTPS, без навязывания. > При входе по HTTP в заголовке выводится предупреждение с предложением открыть страницу > по HTTPS. > Подробнее см. последний пункт в http://wiki.opennet.ru/ForumHelp#FAQ А есть какой-то deadline окончания такого поведения? Потому что это очевидная уязвимость на любимом сайте. Тот же аргумент про LE - с моей точки зрения он не состоятелен, т.к. в 2019 году лишь показывает что установлена не пропатченная ОС. Конечно не дело opennet учить людей надо ли им содержать своё устройство "в чистоте", однако мы все пользуемся одной Сетью и наличие таких устройств бьёт по всем нам.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	3. "HTTPS by default на opennet.ru"	+/–
	Сообщение от Maxim Chirkov (ok), 16-Сен-19, 22:34
	> А есть какой-то deadline окончания такого поведения? Потому что это очевидная уязвимость > на любимом сайте. Думаю, что перелом наступит когда браузеры по умолчанию начнут пробрасывать на https:// при вводе в адресной строке хоста без указания протокола. При входе по внешним ссылкам на http:// можно автопроброс на https:// попробовать сделать уже сейчас. Также предлагали выставлять заголовок  Strict-Transport-Security в случае изначального открытия сайта по https://. > Тот же аргумент про LE - с моей точки зрения он не > состоятелен, т.к. в 2019 году лишь показывает что установлена не пропатченная ОС. Тем не менее люди пользуются старыми смартфонами. Когда нужно лишь читать контент на opennet, ничего страшного в HTTP нет, если не через  какой-нибудь открытый WiFi или левую сеть заходят.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	4. "HTTPS by default на opennet.ru"	+/–
	Сообщение от aim (ok), 25-Сен-19, 13:53
	>> Я тут с удивлением обнаружил что opennet позволяет работать с сайтом по >> http, не по https. С какой целью это сделано и будет >> ли исправлено? > Это принципиальная позиция. Каждый решает сам использовать HTTP или HTTPS, без навязывания. > При входе по HTTP в заголовке выводится предупреждение с предложением открыть страницу > по HTTPS. > Подробнее см. последний пункт в http://wiki.opennet.ru/ForumHelp#FAQ я вот в очередной раз наткнулся на это - ссылка из rss открывается автоматом по http. а это значит что утекают сессии в открытый интернет. это плохо. очень очень плохо.
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

	5. "HTTPS by default на opennet.ru"	+/–
	Сообщение от Maxim Chirkov (ok), 25-Сен-19, 19:43
	> я вот в очередной раз наткнулся на это - ссылка из rss > открывается автоматом по http. а это значит что утекают сессии в > открытый интернет. это плохо. очень очень плохо. Проверил, если RSS забирается по http, то и ссылки выставлялись с http://, если по https то https://. Сейчас поправлю и сделаю ссылки только на https, независимо от метода забора.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема