Leser mit alten Browsern

Ein Problem, um das ich mich jetzt nicht so unbedingt kümmern will. [Nachtrag]

Ich hatte neulich schon geschrieben, dass die Umstellung des Blogs auf HTTPS zu Leser-Verdruss führte. Denn einige Leser, die vorher jahrelang das Blog unverschlüsselt gelesen haben, beschwerten sich nun, dass ich die Chiffren, die der Webserver anbietet, nicht eng und hart genug eingstellt habe, dass also der Server etwa keine perfect forward secrecy erzwingt. (Heißt: spezielle Methoden wie einen DH-Tausch, damit jemand, der den Verkehr aufzeichnet und später mal einen Schlüssel von Client oder Server klaut, den Verkehr nicht nachträglich entschlüsseln kann.)

Das ist zwar schön und toll, aber als Beschwerde untauglich. Denn wenn der Leser das gerne nutzen will, warum stellt er das dann nicht auf seinem Browser so ein, dass er nur diese Chiffren haben will? Server und Client handeln das ja vorher aus, welche Chiffren und Protokolle sie verwenden. Der eine sagt, was er so alles mitmacht und kann, und der andere wählt sich aus der Schnittmenge mit seinen eigenen das beste aus. Insofern muss es reichen, wenn ich solche Verfahren anbiete. Muss dann jeder selbst einstellen, wenn ihm das nicht reicht.

Wobei meine Einstellungen – es ist halt bezüglich der Inhalte auch keine hochsichere Seite, alles frei lesbar, und außer meinen eigenen gibt es da keine Passwort-Eingaben oder sonstwie vertrauliche oder personenbezogenen Eingaben – jetzt auch nicht knallhart sind, eben wegen der Browserkompatibilität. Der Sicherheitstest von ssllabs gibt mir Grade A (grün), aber nicht A+, unter anderem, weil ich noch eine Reihe älterer, inzwischen als schwach eingestufter Chiffren unterstütze, eben damit es auch mit älteren Browsern noch funktioniert. Wobei ich sogar doppelte Einstellungen habe, meine eigenen, und dann nochmal die Einstellungen aus einer include-Datei, die der certbot von letsencrypt vorgibt. Ich müsste mal schauen, welche von beiden Einstellungen eigentlich die sind, die sich durchsetzen und verwendet werden, aber mit dem Test von außen, welche Chiffren der Server tatsächlich zulässt (und das ist der wichtigere, das muss man immer prüfen, weil man immer Konfigurationsfehler haben könnte) bin ich soweit einverstanden, weil ich hier ja eigentlich gar nichts zu verbergen habe, sondern es mir um etwas anderes geht: Nämlich Filter und Sperren zu erschweren und im Google-Rating oben zu bleiben. Laut Tests von außen habe ich keine Chiffren unter 128 bit und keine, die schlechter als Warnung (gelb) eingestuft sind. Das sehe ich jetzt hier nicht als problematisch an, weil die Browser ja die besseren auswählen, sofern sie können.

Insofern stehe ich vor dem Problem, dass sich zwar 99,9% der Leser gar nicht beschweren, aber zwei Leser sich beschweren, dass ihnen die Chiffren nicht hart genug eingestellt sind und zwei weitere, dass sie zu hart eingestellt seien.

Was ich allerdings eingestellt habe: Ich mache nur noch TLS v1.2 und 1.3. Alles drunter gilt auch als veraltet und schwach, und das kann einem auch Abstufungen und so weiter einbringen und andere Probleme bereiten. Das ist der aktuell empfohlende Standard.

Das ist natürlich ein Problem, wenn ich Leser mit Webartikeln nicht mehr erreiche, weil sie die Webseiten mit ihrem Browser nicht mehr lesen können. Da es aber bisher nur zwei Leser waren… etwas schwund ist immer, zumal eine der Leserinnen schrieb, dass es nur von zuhause aus nicht mehr geht.

Es hilft mir auch nichts, wenn man mir, wie in einem Fall, nur „geht nicht mehr” schreibt.

Oder wie im anderen Fall nur ein „Fehlermeldung ssl_error_no_cypher_overlap” sowie den schnippischen Kommentar eines Freundes, ich hätte wohl zu forsch auf moderne Chiffren geschaltet und die Browserkompatibilität missachtet.

Was soll das sein, „Browserkompatibilität” ohne Angabe, um welchen Browser es geht? Kompatibilität mit allen Browsern, die es je gab, bis zu DDR und den sowjetischen? Soll ich jetzt die 40-Bit-Exportchiffren der USA von 1996 wieder einschalten, weil es ja vielleicht sein könnte, dass der noch irgendwo läuft?

Vermutlich ist das Problem nicht mal die Chiffrenauswahl, sondern dass ich alles vor TLSv1.2 abgeschaltet habe.

Leute, so ein Browser ist ein wirklich sicherheitsrelevantes Stück Software. Das ist nichts, wo man aus nostalgischen oder geizigen Gründen alte Dinger laufen lässt. Das ist hundsgefährlich. Zumal es die gängigen Browser kostenlos gibt. Verwendet halt aktuelle Browser, alles andere ist ohnehin ein Problem, aber Eures. (Fragt sich nur, wie ich das Leuten sage, die diese Seite ja nicht lesen können.)

Drollig auch, dass sich eben jene Leserin darüber beschwerte, dass ich strict transport security verwende. Das habe ich nämlich noch nicht eingeschaltet, das steht noch auskommentiert in der konfiguration. Ich wollte das vor meinem Urlaub nicht mehr einschalten, weil ich die Seite erst mal ein paar Tage probelaufen lassen wollte, ob es Probleme gibt. Ich hatte das nur in einem früheren Webartikel geschrieben, dass ich das einsetze, es aber nur mal auf einem anderen Webserver (nur eine testdomain) zum Testen kurz angehabt, es dann aber erst mal wieder auskommentiert. Und trotzdem im Blogartikel erwähnt. Reichte, dass sich jemand beschwerte, dass das das Problem sei.

Auch die Forderung, ich solle doch beides, http und https anbieten, ist nicht wirklich zielführend. Denn erstens wäre das ziemlicher Aufwand, WordPress kann sowas nicht doppelt. Ich habe vor Jahren mal viel Zeit damit verbraten, das WordPress und Apache beibringen zu wollen, und es hat nicht sauber funktioniert. Außerdem könnte dann jeder den Fallback erzwingen, indem er 443 blockt. Und die Leute würden versehentlich auf http gehen, wenn sie nicht explizit https eingeben. Also muss auf http ein redirect antworten und ergänzend (demnächst) der HTTPS-Server ein strict transport security ausgeben, dem Browser also sagen, dass er künftig nur noch per HTTPS zugreifen solle, ohne HTTP zu probieren.

Wenn es also irgendwo partout Probleme gibt (ich weiß, das ist wie zu fragen „Wer hört mich nicht?”), die nicht auf Uralt-Browsern oder Uralt-Betriebssystemen (Nein, es interessiert mich nicht, ob mein Blog von WindowsXP oder auch Windows98 noch erreichbar ist) beruhen, bitte melden.

Ursache könnte nämlich auch ein ganz anderes Problem sein. Ich habe nämlich auch IPv6 eingeschaltet. Moderne Browser verwenden IPv6, wenn ihnen beides angeboten wird. Und wenn dann jemand Probleme mit seinem Netzwerk oder seinem Provider hat und IPv6 bei ihm irgendwo klemmt, kann das auch so aussehen, dass er auf die Webseite nicht mehr draufkommt obwohl es mit HTTPS gar nichts zu tun hat.

Nachtrag: Ein Leser schreibt mir, das Blog könne man mit WindowsXP prima lesen.

Mal abgesehen davon, dass es haarsträubend ist, mit WindowsXP (weil nicht mehr supported) noch im Netz rumzusurfen, stellt sich dann die Frage, was die Leser verwenden, die auf mein Blog nicht mehr draufkommen.