Google märker HTTP-baserade webbplatser som osäkra från och med Chrome 68

@Sir_Manfred: kan rekommendera https://letsencrypt.org/ och använda https://certbot.eff.org/ - gratis med automatisk förnyelse.

@Sir_Manfred:
Beroende på om du kör nginx eller apache idag så finns det enklare respektive svårare sätt. Men skulle rekommendera letsencrypt med nginx. Kör unraid med dockerplugin från linuxserver.io funkar riktigt bra. Gå in på lsio:s hemsida så kan du hitta guider för det. Annars kan du pma mig så kan jag lotsa dig vidare beroende på hur din setup ser ut

Känns som svammel. HTTPS gör ingen skillnad om du kör Lynx, elinks eller netsurf om du inte har javascript, ecmascript, *script eller ens plugins ändå. Säg snälla vilken attackvektor de (malware skaparna) har mot en ren HTTP/HTML läsare som inte ens visar bilder. (Netsurf kan visa bilder, men det går att stänga av genom att inte installera några image translators och köra i framebuffer mode)

Ge makten över internet till certifieringsföretag så att de lättare kan ta bort ditt certifikat om du sprider oönskade åsikter.

Modifikation av data in-flight, insättning av reklam från din ISP (ovanligt i Sverige, vanligare utomlands, vanligt på hotelnätverk), insättning av annan data som kan innehålla skadlig kod (Om nu "Malware" är den enda vektorn man tror existerar).

Det finns ingen reklam fri HTTP sida; det finns alltid besökare som ser den med reklam insatt. Skillnaden är att det är inte ägaren av sidan som får betalt; men det är ägaren som användaren beskyller om reklamen är jobbig.

Certifikat betyder inte att en sida är säker eller bra. Den hjälper till att kryptera informationen och gör det en smula svårare att leka med någons trafik.

Inte ens de bästa certifikat är speciellt säkra då själva CA går inte att lita på. Systemet är bättre än inget men långtifrån säkert i ordets rätta mening. Tyvärr är nyckelutbyte problematiskt och inget som går att lösa så att det är både enkelt och säkert. Certifikat satsar på enkelt och osäkert men fortfarande bra mycket bättre än ingen kryptering.

@martak: Tror du blandar ihop kryptering med hashning, SHA1 och SHA2 (där SHA256 ingår) är hashningsalgoritmer som används för själva certifikaten. SHA1 är det som Chrome varnar för om det används.

Råkade nyss ut för ett phising försök där sidan man skulle gå till såg ut som microsofts web-mail för exchange. I brevet fanns någon luddig beskrivning om varför man ville att användarna skulle logga in samt en länk.

Länken gick till en site som lyste grönt och "Secure" samt såg nästan ut som den web-mail login vi vanligen använder. Cerifikatet på denna site var ett *.domain.com vilket tydligen är vanligt på web-hotell.

Problemet är att man inte kan spärra bort hela domänen då det gäller web-hotell vilket gör att de som driver phisingsidan bara behöver byta namn och köra vidare.

När folks uppfattning om vad som är säkert eller osäkert på internet baseras på om det lyser grönt så kommer det även i fortsättningen att finnas jobb för support och tekniker då lösenord och konton skall återställas.

Inga certifikat i världen garanterar autenticitet. Det ända de säger ett en CA (som man kan lita på lika långt som man kan kasta den) någonstans i världen gav ut ett certifikat. Det finns ingen skydd i systemet mot DNS spoofing och liknande.

Så ja det är helt klart ett problem att folk tränas att tro att ett grönt lås eller företags namn garanterar säkerhet. Det är bättre än HTTP men långt ifrån så säkert som det bör vara. Tyvärr är utbyte av nycklar komplicerat plus att stater har noll intresse av säkert internet då de alla verkar vara kåta som fan på att övervaka allt och alla.

Edit/PS: grc.com's SQRL är ett extremt bra försök att införa autentisering som fungerar åt båda hållen. Det vill säga att du bekräftar din identitet till siten men att den gör så till dig med. Sedan får vi se om det faktiskt finns intresse för verkligen säkra system eller om det är bara skitsnack från företagen.

Ett hårt och onödigt slag mot de enda användbara sidorna på nätet - de som bara kört in ett CMS eller forum och sedan öst på med bra information. Medan krafsbloggare, skräpportaler och bedrägerisajter naturligtvis kommer att se till att de kör https.

Microsoft själva har ju tydligen inte så bra säkerhet när det gäller det här

https://www.computerworld.com/article/3256304/microsoft-windo...

Länk till katalogen där KB4074588 finns:

https://www.catalog.update.microsoft.com/Search.aspx?q=KB4074...
Om man hämtar hem den översta så blir adressen så här http://download.windowsupdate.com/c/msdownload/update/softwar...