Technikwürze – Web Standards Podcast

Hi, super Sendung und schön lang. :-)
Beim Thema SSL muss ich euch aber wenigstens in Teilen widersprechen. Klar, mich nervt diese übermäßige Sicherheit auch ein wenig, aber der Firefox macht das nicht ohne Grund. Der Opera zeigt nur ein Popup an, das man bestätigen muss, der IE (8) blockiert hingegen ebenfalls die Seite, bietet aber direkt einen Link zum Weitergehen und färbt dann die Adresszeile rot.
Allerdings existieren im Web mittlerweile jede Menge ungültiger Zertifikate, sodass diese mittlerweile schon ein Gewöhnungspotenzial haben und viele User einfach weiterklicken, weil sie sich sagen »Ach was, ich sehe doch, dass ich banking.foerde-sparkasse.de eingegeben habe, die Seite ist also die, die ich haben will«. Aber gerade das ist ja der Fehler. Nur weil die Domain die gleiche ist, heißt das nicht, dass der DNS-Cache nicht »vergiftet« oder die Verbindung nicht umgeleitet wurde.
Von daher finde ich es schon gut, dass Firefox da sehr vorsichtig geworden ist. Dass das aber dennoch ein wenig userunfreundlich ist, das stimmt. Ich benutze seit einiger Zeit aber Firefox 3.5 Beta und da ist das ein wenig schöner gestaltet. Dort werden zwei Links angezeigt. Einer für »Technische Details« und einer der da lautet »Ich kenne das Risiko«. Wenn man auf Letzteren klickt, klappt eine kleine Beschreibung mit einer letzten Warnung aus (eben der Hinweis, dass die Seite auch dann nicht die Richtige sein muss, wenn die Domain stimmt). Klickt man dann auf den (nun sichtbaren) Button »Ausnahme hinzufügen« geht das von euch beschriebene Fenster auf. Dort kann man dann auf »Zertifikat herunterladen« klicken, muss man aber nicht, da dies nach 3 Sekunden automatisch passiert. Man muss als nur noch auf »Sicherheits-Ausnahmeregel bestätigen» klicken. Mit insgesamt drei Klicks ist man also ohne groß nachdenken zu müssen auf der Seite.
Wenn’s euch wirklich nervt, könnt ihr ab 3.5 in der about:config über security.alternate_certificate_error_page;certerror aber auch eure eigene Fehlerseite angeben.
Ich halte es jedoch für wichtiger, darauf zu achten, dass das Zertifikat gültig ist, auch wenn das aufwendig ist. Verschlüsselung und Authentifizierung sind zwar zwei verschiedene Dinge, aber das eine ist ohne das andere relativ witzlos. Außerdem gewöhnt man die Otto-Normaluser da draußen dann nicht an ungültige Zertifikate und verstört auch nicht das Vertrauen des Users, was sehr wichtig ist. Ein gültiges SSL-Zertifikat sollte also schon dazugehören, ansonsten sollte man HTTP ohne S verwenden. Es muss ja nicht gleich eine grüne Adressleiste sein, aber ungültige Zertifikate auf öffentlichen Seiten sind pfui-bah. ;-)
Auf nicht-öffentlichen Seiten nutze ich zwar auch gerne mal SSL mit selbst unterschriebenem Zertifikat (da ich es dann kenne, kann ich dessen Echtheit ja nachprüfen), aber ihr redetet von Usern, die durch die Warnung den Service niemals nutzen würden, weil sie nicht wissen, das das soll (was ja auch Zweck der Warnung ist), weshalb ich davon ausgehe, dass ihr öffentliche Sites meintet.
Wenn ihr das für nicht-öffentliche Sites verwendet, könnt ihr euch aber auch ein eigenes Zertifikat erstellen oder das CCC-CA-Zertifikat nutzen, dieses einmal im Browser akzeptieren und damit dann all eure Zertifikate unterschreiben, die ihr nur für euch nutzt. Dann müsst ihr nicht immer wieder die Meldung bestätigen.

Zum Thema Firefox 3 + SSL: Wenn ich selber im Internet surfe, finde ich die Meldung auch nervig und uebertrieben. Wenn nun aber meine technisch unversierten Eltern auf die Seite ihrer Bank gehen und eine solche Meldung bekommen und mich dann veraengstigt anrufen, bin ich froh, dass Mozilla das so geloest hat. Ich habe lieber oft, nervige Fehlalarme, anstatt, dass meine Eltern ein einziges Mal auf eine Phishingseite hereinfallen und ihre Kontodaten verlorengehen.
Wozu benutzen wir denn ueberhaupt SSL-Authentifizierung, wenn wir alle Warnungen komplett ignorieren? Wenn etwas an einem Zertifikat falsch ist, dann kann ich das Zertifikat nicht guten gewissens dennoch akzeptieren, ohne es vorher angeschaut zu haben. Woher soll ich denn sonst bitte wissen, dass es sich bei dem Betreiber der Seite dennoch um denjenigen Handelt, der er zu sein vorgibt? Dazu muss ich das Zertifikat anschauen und genau das ist der Workflow den Mozilla hier unterstuetzt.
Mozillas Entscheidung hat definitiv mehr Bewusstsein geschaffen fuer das Thema Authentifizierung, Phisching und SSL-Zertifikate, auch bei technisch weniger versierten Nutzern. Leider Gottes ist das Thema komplex und fuer Laien schwer verstaendlich, dennoch stellt es jedoch keine gute Loesung da, das Thema quasi zu ignorieren, was die bisherigen Browsermeldungen gefoerdert haben. Wenn uns Profis das zu laestig ist und wir sowas darum geaendert sehen wollen, dann ist das sehr schade, denn es geht zu Lasten der unversierten user.
Selbiges gilt fuer die nervigen Meldungn unter Windows.Die meisten Windowsuser sind unversiert und wenn die sich alle Viren einfangen ist Microsoft teilweise zu Unrecht der Beschuldigte. Das schwaechste Glied in der IT-Sicherheit ist leider halt immernoch der (ungeschulte) Benutzer.

Vielleicht wuerde hier eine Verpflichtung zum PC-Fuehrerschein helfen und wir koennten uns in Zukunft solche Warnungen sparen.

Die Meckerei über TemplaVoila kann ich nicht nachvollziehen. Gerade was Übersichtlichkeit im Backend und Accessibility angeht ist TemplaVoila die Waffe der Wahl. Eigene FCE, die der Kunde nur mit Text befüllen muss und am Ende sieht es exakt so aus wie es aussehen soll? Ich möchte es nicht missen.

Klar, man kann das auch extrem “verhunzen”, aber wenn man das von vornherein sauber strukturiert aufbaut und globale Inhalte wie eine Fusszeile als solche definiert, muss man auch nicht >50 Templates anpassen.

Schöne Sendung! David klingt etwas wie aus ner Dose.

Ein Webstandards Magazin-Abo sollte Pflicht werden für Berufsschullehrer (der Mediengestalter, etc. im NonPrint-Bereich), sowie Web Awards-Jurymitglieder. Bin ich ernsthaft sehr dafür!

Gute, informative Sendung, danke!

Also ich muss euch auch beim Thema Typo3/TemplaVoila widersprechen. Der Vorteil von Templavoila ist gerade das die vorarbeiten um sauberen Code zu erstellen begrenzt werden. Mit Contentelements und Pagetemplates ist das viel einfacher und meiner Meinung auch übersichtlicher für den Redakteur.

Hey David,

vielen herzlichen Dank für die DynaMite-Lizenz! Ist vorhin bei mir in den Posteingang reingedröppelt!

Viele Grüße