HTTPS-Everywhere-Regeln für overclockers.at

Ich habe eine HTTPS-Everywhere-Regel für die wichtigsten Domains des Forums erstellt. Bevor ich sie einreiche, sollte sie noch ordentlich getestet werden.
Gibt es ein paar freiwillige Tester unter euch?

Momentan kann man nur im Firefox eigene Regel-Dateien hinzufügen:

1. Installiere HTTPS Everywhere für Firefox von der offiziellen Website: https://www.eff.org/https-everywhere
2. Lade die Regel herunter: overclockers.at-v1.xml
   (Rechtsklick, Ziel speichern unter ...)
3. Verschiebe die Datei in das Verzeichnis HTTPSEverywhereUserRules in deinem Profilordner:

• Linux: ~/.mozilla/firefox/<profile folder>/HTTPSEverywhereUserRules/
• Mac: ~/Library/Application\ Support/Firefox/Profiles/<profile folder>/HTTPSEverywhereUserRules/
• Windows: %APPDATA%\Mozilla\Firefox\Profiles\<profile folder>\HTTPSEverywhereUserRules

Häufig gestellte Fragen:

1. Was ist HTTPS Everywhere?
   
   HTTPS Everywhere ist eine Browser-Erweiterung für Firefox, Chrome, und Opera, die von der Electronic Frontier Foundation (EFF) entwickelt wurde. Die Erweiterung schreibt HTTP-Anfragen automatisch in HTTPS-Anfragen um. Aber das funktioniert nur, wenn eine Regel für die Website hinterlegt wurde. Mitterweile werden tausende Regeln mitgeliefert.
2. Der Webserver von overclockers.at leitet bereits alle HTTP-Anfragen auf HTTPS weiter. Wozu braucht man dann noch HTTPS Everywhere?
   
   Die Weiterleitung von HTTP zu HTTPS wird unverschlüsselt übertragen. Ein Angreifer, der sich zwischen Server und Client befindet (z.B. in einem offenen WLAN), könnte die HTTP-Anfrage manipulieren und eine Weiterleitung zu HTTPS verhindern.
   
   HTTPS Everywhere schützt vor diesem Angriff, indem bereits clientseitig HTTP zu HTTPS geändert wird, wenn eine Regel für die besuchte Website enthalten ist. Der Webbrowser verbindet sich dann von Anfang an per HTTPS zum Server.

Die Weiterleitung zu HTTPS könnte ein Angreifer unterbinden und so eine gefälschte HTTP-Version der Website unterschieben: HTTPS stripping attack

Unser Webserver unterstützt auch bereits HTTP Strict Transport Security, um dies zu verhindern. Jedoch muss man die Website mindestens einmal über HTTPS besucht haben, damit der Browser Bescheid weiß.

HTTPS Everywhere verhindert jede HTTP-Verbindung zu overclockers.at.

mir is aufgefallen dass chrome dieses mischsymbol anzeigt, wenn man von der domain auf einen bereich geht, zb forums.
overclockers.at kriegt ein schloss in der adresszeile wie man es erwartet. any reason for that?

Reicht nicht einfach auf dem http Webserver:

<?php

if ($_SERVER['HTTP_HOST'] != "www.overclockers.at"){

header("HTTP/1.1 301 Moved Permanently");

header("Location: https://www.overclockers.at".$_SERVER['REQUEST_URI']); exit; }

?>

Gibts für Chrome, aye.

Zitat von Crash Override

Reicht nicht einfach auf dem http Webserver:

<?php

if ($_SERVER['HTTP_HOST'] != "www.overclockers.at"){

header("HTTP/1.1 301 Moved Permanently");

header("Location: https://www.overclockers.at".$_SERVER['REQUEST_URI']); exit; }

?>

Eine Weiterleitung von HTTP zu HTTPS ist anfällig für einen Man-in-the-Middle-Angriff namens SSL Stripping, den HTTPS Everywhere verhindern kann. Ich hab im ersten Post eine Erklärung hinzugefügt.

Bzgl. PHP: Ich würde die Weiterleitung lieber dem Webserver statt einem PHP-Skript überlassen. Das halte ich für weniger fehleranfällig und effizienter - auch wenn HTTP Response Splitting in der header-Funktion von PHP nicht mehr möglich sein sollte.

Zum Beispiel Apache 2.2:

Zitat

<VirtualHost *:80>
ServerName example.com

RedirectPermanent / https://example.com/

...
</VirtualHost>

Add-On ist installiert und Rule is drin für oc.at.

Sämtliche großen publisher, zumindest mit denen wir arbeiten (das sind doch ein paar), akzeptieren seit ein paar Monaten nur noch https tags.
Das zwingt natürlich die Leute die die Werbung in ihr system reinklopfen einen https link raus zu ziehen.
Aber ich sehe das Problem nicht da es die meisten adserver mit einem hackerl mehr bei den Einstellungen können.
Vermutlich hat euer vermarkter kein eigenes adserving und bekommt die tags von dem Kunden selbst. Anders kann ich mir die Antwort nicht erklären