connection http et pas https
Redjoe
14-01-2024 09:38
Chers admins bonjour,
La sécurité des connections à votre site me pose problème. Pourquoi n'est elle pas basée sur HTTPS, protocole chiffré?
La connexion HTTP transite en clair et les données de connexion des membres transitent en clair et sont à la merci du premier pirate venu.
De plus, il me semble bon de rappeler que Google n'indexe plus les site en HTTP... Dommage pour sa popularité pour les nouveaux motards.
bien amicalement
Modifié 1 fois. Dernière modification le 14-01-24 09:40 par Redjoe.
Bonjour,
Quel est le sujet ?
Sécurité
Les infos sont encryptees, le mot de passe n'est pas sauvegardé en clair. Même moi ayant accès à tout, je ne peux pas connaître le mot de passe de quiconque, chaque mot de passe est encrypté.
Par ailleurs, il y a des sites en https très mal protégés avec des grosses failles de sécurité et qui se font pirater. Et il y a sur le Repaire beaucoup de protections à plein de niveaux pour garantir une sécurité maximale (j'ai même payé des hackers des années pour protéger le site au maximum et il y des mises à jour permanentes au niveau sécurité).
Google
C'est très gentil de rappeler des choses... mais il faut rappeler des choses exactes. Google référence très bien les sites http. Il l'a toujours fait et cela ne va pas changer.
Et puis même s’il ne le faisait pas, quelle importance ?
Données de connexion
On parle d'un pseudo et du contenu d'un post ! pas d'un panier d'achat ou de données personnelles. On ne conserve même aucune donnée sur ce qui a été consulté par quelqu'un. Il n'y a donc aucun targeting ni-retargeting (recyblage publicitaire). Il n'y pas de pub google ni aucune pub des grosses plateformes, donc le peu de données éventuellement existantes ne partent nulle part ailleurs et ne sont pas sauvegardées. Oui, partout ailleurs, si vous allez sur un site, vous retrouvez la pub de ce site sur un autre site. Ce n'est pas le cas ici.
Informations anonymes
Le site ne vend rien. Tout est gratuit. Il n’y a aucune information réellement personnelle ou confidentielle. Un pseudo anonyme ? Donc quel intérêt à protéger ce qui n’a pas d’intérêt ? Une réponse à une simple question mérite t elle d’être particulièrement protégée ? On parle de moto ici pas de secret défense.
Et pourquoi https ? Pour qu’il y ait plus de monde ? Mais plus de monde, cela coûte plus cher (parce qu'il faut un plus gros serveur pour accueillir plus de monde) et cela ne rapporte pas plus. Donc aucun intérêt financier.
Au contraire parce que le passage complet https a un coût (et qu’on ne me parle pas du coût du certificat SSL qui est déjà installé depuis 20 ans et fonctionne très bien au niveau admin, ce qui là est important). Donc le https est potentiellement en place sur le site depuis longtemps. Et c’est d'ailleurs moi qui l’ai mis en place à l’époque.
Cela fait 25 ans que l’on nous demande plein de choses (c'est facile de demander) mais personne ne veut payer. Or chaque demande a un cout. Il faut donc trouver de l’argent (et je travaille aussi pour cela). Donc, la réponse première pourrait être : parce qu'on n'a pas l'argent pour le faire ou qu'entre tout ce qu'il y a à faire, et les couts, il faut faire des choix parce qu'il n'y a pas assez d'argent pour tout faire.
Mais malgré cette réponse, une équipe y travaille depuis plus d’un an et j’espère qu’ils y arriveront un jour.
Et sinon, combien seriez-vous prêt à payer pour que le site soit en https ? Parce que si c’est important pour vous, combien important c’est important pour vous ? (c'est une vraie question car elle met le doigt sur la vraie problématique du sujet)
... la gratuité, en mode Taquin et en raccourci, ça peut s'interroger sur au moins 2 points dans le contexte. Le marché des données, et la publicité.
C'est justement parce que le visiteur n'est pas un produit sur Le Repaire, qu'il n'y a pas assez de rentrées d'argent et donc qu'il n'y a pas https. CQFD.
Et quand c'est gratuit, c'est aussi parfois que certains ont fait des sacrifices (financier, temps...). Parce qu'heureusement, il n'y a pas que le capitalisme sur terre.
Ah la la le Taquin n'est plus ce qu'il était ... mais je te le concède volontiers, sérieusement la question du capitalisme n'a sans doute rien à voir ici. J'ai chopé le dessin sur la toile et peut-être que j'aurai du en effacer une partie. Et peut-être même que mon post n'a absolument rien à voir avec la question technique abordée ici, dans le sujet initial ?
Simplement, tu as posé un regard sur la question de la gratuité et j'y ai associé cette réflexion dessinée de façon provocatrice. Maladroit à tes yeux, rigolo aux miens ... mais pas insultant ou méprisant, ou si tu l'as pris comme tel, je m'en excuse bien sincèrement.
Après, faut pas s'emballer, même si je peux comprendre que pour toi, l'implication, la somme de travail, et les soucis de l'entreprise qu'est devenue le site RDM peuvent être de taille, vois-tu, vu d'ma fenêtre, naïvement je parcours simplement les sujets d'un forum (et non pas les pages d'un média au volume certain) auquel il m'arrive de participer, comme je le fais sur d'autres forums carrément artisanaux.
Bon, les p'tits forums artisanaux sont gratuits d'accès, et parfois même les tauliers payent pour qu'il n'y ait pas de pub dessus, c'est te dire si on est pas dans le même monde et les mêmes réalités.
Cela dit, puisque tu fêtes les 25 ans de ta boite, je peux me douter que passer du p'tit forum au gros média a du te demander énormément de boulot ... Perso (NB toujours en mode taquin), à ce niveau la et pour fêter ça, maintenant je vends la boite et j'me tire aux Bahamas ou aux Seychelles, pendant qu'la mer n'est pas trop haute, nan ?? La passion au boulot, ça peut être piégeux ...
En http ou en https, bon courage à toi et à tous les travailleurs !
Merci Cajo.
Le risque existe, c'est un PEBKAC (Problem exists between the keyboard and the chair). Si un forumeur a la mauvaise mais universelle habitude d'utiliser le même mot de passe ici et sur un site beaucoup plus sensible, il y a un vrai risque de piratage.
Ou, dans ton cas, David, que ton propre compte serve à pomper l'ensemble des fiches utilisateurs afin d'alimenter des bases de données de spam par exemple, ou bien produire de l'usurpation d'identité.
Par contre, @Redjoe, je pense que tu ne te rends pas trop compte des coûts induits par la mise en place d'une PKI certifiée. Le RdM n'a peut-être pas un budget à y consacrer.
Sans rentrer dans trop de détails au niveau de sécurité, il y a 3 niveaux de sécurité différents, avec des systèmes différents pour arriver vraiment au coeur du système.
Si quelqu'un arrivait à hacker mon compte, il n'aurait accès à rien (hormis la capacité d'aller modifier un post des forums). Donc, hacker mon compte ne permettrait pas d'aller récupérer les fiches utilisateurs.
A partir du 2e niveau, tout est en https (le certificat est mis à jour chaque année), afin de sécuriser les données échangées et il y a des credentials différents à fournir. Et là encore, il n'y aucun accès aux données utilisateurs.
Au 3e niveau, il y a encore d'autres credentials, différents et sans aucun rapport avec les premiers, à fournir. Et il n'y a aucune interface/admin de modification des données (j'aime bien des codages en dur qui rendent toute modification particulièrement complexe).
Et il n'est pas possible de passer directement au 3e niveau. Il faut passer chaque niveau 1 à 1 avec ses propres spécificités, clefs et certificats.
Et forcément, il y a du monitoring d'accès = des tentatives d'accès infructueux génèrent des alertes et surtout des blocages automatiques, voire définitifs.
Et même là, il n'y a pas encore accès ni au système ni aux bases de données avec les données utilisateurs.
J'ai conçu cela de façon compliquée pour sécuriser. En attendant, c'était possible de rendre quelque chose de compliqué car je suis le seul à devoir accéder au système. Je pouvais donc mettre en place des niveaux complexes et différents avec des droits, des clefs et des certificats spécifiques.
Mais heureusement, qu'il ne doit pas y avoir plusieurs personnes à devoir y accéder, car ce serait complexe à mettre en place. Le système actuel ne permet en effet pas à plusieurs personnes d'accéder au 3e niveau.
Après nul système n'est parfait, le risque 0 n'existe pas, tout est toujours perfectible. Et comme dit plus haut, il faut l'argent pour cela (qui reste le nerf de la guerre) et quand il y a plein de choses à faire, faire le choix de mettre ce que l'on a, entre les priorités et les urgences (et pour les connaitre, il faut avoir la vision globale de tout ce que le Repaire nécessite au jour le jour).
Ah, je comprends que l'admin forum est en gros un modo du temps des forums PHPbb (à l'époque, l'admin avait un accès détourné aux bases de données) 
Petit avantage à ne pas avoir de HTTPS: pour contourner le système d'auto bannissement d'IP qui recommence à faire de siennes, je suis actuellement en train de passer par le réseau TOR
Et comme de temps en temps je me prends un "410 forbidden", je relance un nouveau circuit d'accès, et en HTTP il n'y a qu'à recharger la page.
Quand une absence de fonction de sécurisation permet de passer outre un mécanisme de sécurité mal calibré 
