OpenStreetMap.org jetzt verschlüsselt

chris66 · 2014-02-16 10:59:10

rayquaza wrote:

Wohl erst ab einer zukünftigen so richtig.

Ok, wenn man OAuth nicht nutzt scheint es in der josm-latest (6853) zu funktionieren.

Last edited by chris66 (2014-02-16 11:03:14)

SimonPoole · 2014-02-16 11:03:12

chris66 wrote:

rayquaza wrote:
Wohl erst ab einer zukünftigen so richtig.
Ok, wenn man OAuth nicht nutzt scheint es in der josm-latest (6853) zu funktionieren.

Sollte eigentlich seit gestern Nachmittag tun, lag nicht an JOSM sondern an der Server Config.

SimonPoole · 2014-02-16 13:03:21

pointhi wrote:

.......
...., ich hab das aktuelle vespucci 9.4, .......

Noch ein OT Hinweis, ich finde F-Droid ja gut, aber kommentarlos einen x-beliebigen selbst produzierten Build aus dem Repository als "aktuelle" Version zu bezeichnen ist wohl etwas gar irreführend. Es gibt überhaupt erst seit vorgestern einen "offiziellen" Test/Beta Build von 0.9.4 und die ist noch weit von einem Release weg. Die Version die von F-Droid verteilt wird scheint mindestens ein ernsthaftes Problem zu haben (hier nicht nachvollziehbar), man ist also vermutlich mit vorgenanntem Testbuild besser bedient.

pointhi · 2014-02-16 14:14:20

ok, ich hatte vor meinem post ein wenig auf dem repository von vespucci herumgeschaut, aber google code ist für mich so undurchsichtig dass ich mich am builddatum orrentiert habe. Wenn es eine unstable build ist, ok, ich hatte bisher jedenfalls keine probleme mit dieser version.

https ist übrigens durch neuesten commit hinzugefügt worden: http://code.google.com/p/osmeditor4andr … tail?r=687, das wäre jetzt die version 0.9.4r687.

mfg, pointhi

FvGordon · 2014-02-16 15:59:55

Hallo,

wenn ich die Mapnik-Karte mit https aufgerufen habe, funktioniert die Fernbedienung von JOSM nicht mehr - kann also den Kartenauschnitt nicht über "Bearbeiten mit externem Editor" nicht über diesen Klick öffnen, was in der unverschlüsselten Variante noch ging.

Gibt's dafür eine Lösung ohne das 's' in der URl zu entfernen und die Karte dafür erstmal unverschlüsselt aufzurufen?

Franz

rayquaza · 2014-02-16 16:24:55

Es gibt bereits einen Bugreport dafür. Der Grund ist, dass aktuelle Webbrowser auf über HTTPS geladenen Seiten viele Zugriffe ohne SSL blockieren und der "Webserver" in JOSM kein SSL kann oder zumindest kein Zertifikat hat.

amm · 2014-02-18 18:26:47

taginfo.openstreetmap.org ist nun auch per https zu erreichen.

Damit duerfte iD nun auch einen Schritt naeher sein Verschluesselung zu unterstuetzen.

Das forum waere dann demnaechst glaube ich der letzt osm.org Service der nicht per https zu erreichen ist, aber das soll ja auch bald kommen.

rayquaza · 2014-02-18 18:28:01

amm wrote:

Das forum waere dann demnaechst glaube ich der letzt osm.org Service der nicht per https zu erreichen ist

nominatim.osm.org fehlt auch noch.

derstefan · 2014-02-18 18:58:00

Ich würde mir wünschen, dass die Webinterfaces standardmäßig auf https weiterleiten. Die Kachelserver dagegen sollten weiterhin auch über Port 80 erreichbar bleiben, ohne Redirect.

Vielen Dank für die gute Arbeit!

derstefan · 2014-04-09 19:33:18

amm wrote:

Das forum waere dann demnaechst glaube ich der letzt osm.org Service der nicht per https zu erreichen ist, aber das soll ja auch bald kommen.

Wie sieht es denn aus? Können wir mit https im Forum rechnen? Jedes unverschlüsselte Byte ist ein Byte zu viel für die Neugierigen!

aromatiker · 2014-04-09 21:12:09

Sind die OSM-Server auch vom Hearbleed-Bug http://www.heise.de/newsticker/meldung/ … 65517.html betroffen ?

pointhi · 2014-04-09 21:17:13

zumindest jetzt nicht mehr: http://possible.lv/tools/hb/?domain=openstreetmap.org. Das Zertifikat ist jedenfalls erst vor kurzem ausgestellt worden, also waren die osm-server vermutlich auch betroffen, und es ist ein neues Zertifikat erstellt worden.

mfg, pointhi

SimonPoole · 2014-04-09 21:20:11

aromatiker wrote:

Sind die OSM-Server auch vom Hearbleed-Bug http://www.heise.de/newsticker/meldung/ … 65517.html betroffen ?

"auch", du kannst davon ausgehen, dass im wesentlichen -alle- Dienste die über SSL angeboten wurden betroffen waren, der einzige Unterschied ist wie schnell Updates und neue Zertifikate eingespielt wurden. Da es Berichte gibt, dass praktisch unmittelbar nach dem bekanntwerden des Problems, auf Konten eingebrochen wurde, ist das vernünfitige Verhalten sobald neue Zertifikate für ein Dienst eingerichtet wurden, seine Passwörter zu ändern.

Die Zertfikate für openstreetmap.org und die Tilecaches wurden heute am frühen Abend ersetzt, also ... siehe oben.

Simon

PS: das Forum wird noch nicht von der OSMF betrieben.

pointhi · 2014-04-09 21:40:39

Die SSL-Konfig der servers schaut relativ gut aus: https://www.ssllabs.com/ssltest/analyze … .63.75.103 Perfect Forward Secrecy ist wenn möglich aktiviert. Damit wird zumindest ein nachträgliches entschlüsseln von verbindungen so gut wie unmöglich. Ich frag mich nur, warum nur Diff-Hellman, und nicht auch Eliptische Kurven dafür verwendet werden.

Auch ist ein SHA1 verschlüsseltes zertifikat eigentlich nicht mehr als sicher zu betrachten, auch wenn 90% aller websiten so eines verwenden. 3DES ist meines wissens auch nicht mehr auf den stand der zeit. Villeicht sollte man mal ein wenig darüber diskutieren, ob eine änderung der ssl konfiguration nicht überlegenswert ist. OSM ist jetzt sicher nicht schlecht verschlüsselt, aber meinem (wenigen) kryptographischen Wissens nach könnte man noch ein wenig mehr schaffen. Ich könnte mich aber auch in der hinsicht irren.

mfg, pointhi

amm · 2014-04-10 09:11:58

Soweit ich weis war die Luecke in den OSM Servern innerhalb weniger Stunden nach bekannt werden gepatched. Auch bei bekannt werden von Sicherheitsluecken in Rails sind die OSM admins normalerweise sehr schnell mit dem einspielen von Patches! Passwoerter werden auch mit starken hash Funktionen (SHA512 mit ein paar tausend Iterationen) abgesichert und auch die mailserver verwenden wo moeglich TLS um den Verkehr und deren Metadaten abzusichern. insgesammt wuerde ich eigentlich von einem ziemlich hohen Schutzstandard bei OSM sprechen und die Admins nehmen das Thema Sicherheit ziemlich ernst.

Der Grund wieso die Hauptseite nicht ECDHE unterstuetz sondern nur DHE ist das Apache 2.2, welches teil von Ubuntu 12.04 LTS ist, dieses nicht beherrscht. Die tileserver, die auf Squid basieren verwenden hingegen ECDHE und sind mit TLS 1.2 auch auf dem neuesten standard. 3DES wird lediglich mit IE6 verwendet und liegt eher am Browser als am Server.

Auf wie das Zertifikat abgesichert ist hat OSM so weit ich weis auch keinen Einfluss sondern liegt an der verwendeten CA.

SimonPoole · 2014-04-10 09:46:58

Es scheint hier irgendwie ein Misverständnis vorzuliegen. Das Fiese an heartbleed ist das es überhaupt nicht vom sicheren oder nicht-sicheren Betrieb der Dienste abhängt, wenn überhaupt ist es eher so, dass Betriebe die versucht haben alles möglichst sicher zu machen mehr davon betroffen sind. Weiter ist es nicht nötig irgendwo einzubrechen oder sonst irgendwie gross Spuren zu hinterlassen um den Fehler auszunutzen.

Last edited by SimonPoole (2014-04-10 11:08:50)

derstefan · 2014-05-18 15:30:22

Das Forum ist anscheinend auch über https erreichbar, aber der Apache ist noch nicht zu Ende konfiguriert. Dürfen wir weiter auf Verschlüsselung hoffen?

Glenn Greenwald schildert in seinem druckfrischen Buch äußerst treffend, wie lange er aus reiner Faulheit mit der Verschlüsselung seiner privaten Kommunikation (v.a. Mail) gezögert hat und Snowden ihn (noch anonym) über Wochen und Monate dazu ermahnt hat. Dieses Verhalten ist bei wirklich jedem zu beobachten. Wir scheren uns nicht darum, weil es halt keine direkten, negativen Auswirkungen mit sich zieht. Bitte, bitte, verschlüsselt alles, was geht!

SimonPoole · 2014-05-18 16:48:37

derstefan wrote:

Das Forum ist anscheinend auch über https erreichbar, aber der Apache ist noch nicht zu Ende konfiguriert. Dürfen wir weiter auf Verschlüsselung hoffen?

AFAIK ist das Forum noch nicht gezügelt (d.h. auf OSMF Infrastruktur).

derstefan · 2016-03-14 23:45:51

Passiert bald was? Ich bin es leid, Passwörter im Klartext zu übertragen! Langsam vergeht mir die Lust, mich hier nochmal einzuloggen.

woodpeck · 2016-03-14 23:59:46

derstefan wrote:

Passiert bald was? Ich bin es leid, Passwörter im Klartext zu übertragen! Langsam vergeht mir die Lust, mich hier nochmal einzuloggen.

Nimm halt ein andres Passwort als bei PayPal, dann ist es nicht so schlimm

Announcement

#51 2014-02-16 10:59:10

Re: OpenStreetMap.org jetzt verschlüsselt

#52 2014-02-16 11:03:12

Re: OpenStreetMap.org jetzt verschlüsselt

#53 2014-02-16 13:03:21

Re: OpenStreetMap.org jetzt verschlüsselt

#54 2014-02-16 14:14:20

Re: OpenStreetMap.org jetzt verschlüsselt

#55 2014-02-16 15:59:55

Re: OpenStreetMap.org jetzt verschlüsselt

#56 2014-02-16 16:24:55

Re: OpenStreetMap.org jetzt verschlüsselt

#57 2014-02-18 18:26:47

Re: OpenStreetMap.org jetzt verschlüsselt

#58 2014-02-18 18:28:01

Re: OpenStreetMap.org jetzt verschlüsselt

#59 2014-02-18 18:58:00

Re: OpenStreetMap.org jetzt verschlüsselt

#60 2014-04-09 19:33:18

Re: OpenStreetMap.org jetzt verschlüsselt

#61 2014-04-09 21:12:09

Re: OpenStreetMap.org jetzt verschlüsselt

#62 2014-04-09 21:17:13

Re: OpenStreetMap.org jetzt verschlüsselt

#63 2014-04-09 21:20:11

Re: OpenStreetMap.org jetzt verschlüsselt

#64 2014-04-09 21:40:39

Re: OpenStreetMap.org jetzt verschlüsselt

#65 2014-04-10 09:11:58

Re: OpenStreetMap.org jetzt verschlüsselt

#66 2014-04-10 09:46:58

Re: OpenStreetMap.org jetzt verschlüsselt

#67 2014-05-18 15:30:22

Re: OpenStreetMap.org jetzt verschlüsselt

#68 2014-05-18 16:48:37

Re: OpenStreetMap.org jetzt verschlüsselt

#69 2016-03-14 23:45:51

Re: OpenStreetMap.org jetzt verschlüsselt

#70 2016-03-14 23:59:46

Re: OpenStreetMap.org jetzt verschlüsselt

Board footer