Task: Add HTTPS on login pages of the Wiki and Forum
For the HTTPS we need a SSL-certificate. Is anyone on the server?
TF
personally, I have no idea.
ok then I think no.
I will look for a free or cheap certificate.
http://mathias-kettner.de/lw_ca_zertifikat_erstellen.html
I will create a SSL certificate with OpenSSL. This will generate a warning in the browser (see here https://forum.integralepartei.de/index.php)
but I think it is better than to pay 100€ per year.
wiki HTTPS enabled
next to do:
enable forum HTTPS
TF
Great! Can you share shortly in the Wiki how you created the SSL certificate (or just link to the page of Matthias):
https://wiki.opensourceecology.de/wiki/Server-Admin-Log
done
FYI
I’ve found a SSL-certificate on server which is already using on mail.opensourceecology.de.
So I used it now for wiki.opensourceecology.de
TF
forum HTTPS enabled
Hello forum admins please set the forum URL from HTTP to HTTPS in the admin center
URL from http to https and port from 80 to 443
here an example:
HTTPS for blog.opensourceecology and opensourceecology.de enabled.
WordPress default URL set from http to https
very important !!!
I can’t login me to OSEG wiki! At the login, it’s give the message :
Fehler bei der Anmeldung
Open Source Ecology - Germany benutzt Cookies zur Anmeldung der Benutzer. Du hast Cookies deaktiviert, bitte aktiviere diese und versuche es erneut.
.
But i have enabled the cookies! Please remediate the bug.
Hello Nikolay
Now I enabled HTTPS for wiki, forum and blog.
So HTTP and HTTPS is enabled and HTTPS is default.
If we want disable HTTP then I can set it ?
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule .* > https://www.domain.com/%{REQUEST_URI> } [R,L]
TF
clear your browser cache and try it again.
If this is not working then try to add action=purge in the url
for example
wiki.opensourceecology.de/wiki/MeineSeite
to
wiki.opensourceecology.de/index.php?title=MeineSeite&action=purge
this cleared the wiki cache for this page
@ Tony Ford
i have clear the cacher and set action=purge in the url.
but sorry, it don’t work. Somewhere is a bug on the HTTPS login page.
Yesterday it had works, but since at the morning today it don’t works.
I try it again at the evening today. So please return back the settings.
Hi,
habe das gleiche Problem mit dem Wiki-Login wie Achmed, trotz frisch geleertem Cache.
Ausserdem ist es so, das die Startseite beim Wiki völlig unformatiert erscheint. Ich hab dann beim URL anstatt http https verwendet. Nachdem ich dann das Zertifikat genehmigt hatte war die Formatierung dann wieder ok, egal ob man https oder http beim URL angab.
Ich habs dann aber nochmal mit http von einem anderen Rechner aus probiert mit dem ich noch nie auf der Wiki-Startseite war und sie erschien dort auch unformatiert.
Gruss, Oliver
Ok, habe nun HTTP deaktiviert bzw. eine Weiterleitung zu HTTPS integriert.
Im Forum müsste ein Forumadmin die Servereinstellung auf HTTPS ändern, dort kann es durch die Software geregelt werden, dass solche Probleme wie beim Wiki nicht auftreten.
Bitte nun nochmal ausprobieren. Habe den Fehler selbst nachstellen können und nun kommt der Fehler nicht mehr.
Sorry für die Unregelmäßigkeiten am heutigen Tag. Solch umfassenden Änderungen gehen leider nicht immer ohne Folgen von statten. Zumindest sind die Logindaten der Nutzer jetzt sicher.
Login funktioniert wieder !!
Danke 
Great! Done: https://wiki.opensourceecology.de/wiki/Forum-Admin-Log . But forcing HTTPS doesn’t seem to work.
Btw, Sebastian, I and you have the same forum rights, so you should be able to change it too.
Hi Sebastian,
der Login funktioniert bei mir auch wieder.
Allerdings scheint sich Deine Weiterleitung nicht nur auf die Login-Seite zu beziehen, sondern auf das gesamte Wiki, d.h., auch die Startseite.
D.h., jemand der zum ersten mal auf die Startseite geht bekommt sofort eine Zertifikatsanfrage bzw. die Meldung, das dem Zertifikat nicht getraut wird. Letztlich weil die Identitätsbescheinigung quasi selbst unterschrieben ist und somit nicht offiziell authentifiziert wird und somit die Identität zweifelhaft ist.
Das sieht dann ungefähr so aus:
(das ist hier die Meldung vom Forum aber bei der Wiki-Startseite ists im Prinzip das Gleiche.)
Dem unbedarften Besucher wird also einerseits gesagt, dass die Webseite möglicherweise nicht sicher ist, er aber, wenn er unbedingt möchte auf eigenes Risiko das Zertifikat runterladen kann, dies aber aus Sicherheitsgründen nicht empfohlen wird 
Ich kenn mich mit Sicherheits- und Authenifizierungssachen nicht sonderlich gut aus, aber aus meiner Sicht gibts hier, sofern wir nicht demnächst einen gewissen Besucherschwund verzeichnen wollen, zwei Optionen:
Entweder man muss ein gültiges Zertifikat anbieten, d.h. ein solches, das von irgendeiner öffentlichen Zertifizierungsstelle öffentlich authentifiziert wurde (kenne mich da im Detail wie gesagt nicht so aus, k.A., was da das offizielle Prozedere ist).
Oder, man muss die https-weiterleitung lediglich auf die Login-Seite beziehen und nicht auf die gesamte Site.
Wobei die erste Option m.E. auch für die Login-Seite wünschenswert wäre, für den Fall, das sich unbedarfte User im Wiki registrieren und anmelden wollen.
Und die zweite Option ist m.E. zusätzlich ebenfalls wünschenswert, denn soweit ich das Ding verstehe bedeutet https eine SSL-verschlüsselte Verbindung, was entsprechend mit Performance-Einbußen einherginge. Und mir leuchtet überdies auch nicht ein, warum ein User, der auf das Wiki nur lesend zugreift und noch nicht mal angemeldet ist sämtliche angezeigten Seiten bzw. Inhalte verschlüsselt übergeben bekommen muss, denn niemand wird (anders als bei der Passwd-Übertragung) ein Interesse daran haben, den Inhalt zu hacken, da der Inhalt ja ohnehin öffentlich verfügbar, einsehbar und damit quasi jedem (dens interessiert) bekannt und zugänglich ist.
OK, soweit meine laienhaften Betrachtungen, hoffe, es hilft Dir weiter.
Gruss, Oliver
Hi,
ich nochmal. Dank dem von Dir im Wiki hinterlegten Link auf die Anleitung wie man ein Zertifikat selbst erstellt, weiss ich jetzt dass öffentlich authentifizierte Zertifikate anscheinend doch nicht umsonst zu haben sind. (Dies ggflls. nochmal durch googeln überprüfen, würde mich irgendwie wundern, wenn sich da in der Linuxwelt nicht doch irgendeine Umsonst-Lösung für bietet).
Aber hier http://mathias-kettner.de/lw_ca_zertifikat_erstellen.html wird jedenfalls gesagt:
Um eine mit SSL/TLS abgesicherte Verbindung anzubieten, benötigen Sie ein Serverzertifikat. Dieses muss von einer Zertifizierungsstelle (Certification Authority oder kurz CA) signiert sein.
Ein offizielles Serverzertifikat, welches von einer offiziellen Stelle signiert ist, ist leider nicht kostenlos. Meist werden jährliche Gebühren in Höhe von mehreren hundert Euro fällig.
Falls dem tatsächlich so ist wäre meine Empfehlung, die https-Weiterleitung wieder rückgängig zu machen. Ich glaube nicht das unsere Daten so sensibel oder von besonderem Interesse für irgendwelche Bösis sind, das wir das unbedingt haben müssten.
Es wäre zwar schade um die Mühe die Du Dir dabei gemacht hast, aber immerhin hätten wir dadurch etwas gelernt.
Und für den Fall, das wirklich mal jemand durch einen man-in-the-middle-Angriff oder sowas ein Admin-Passwd rausbekommt, was wäre das Schlimmste, was er uns antun könnte ? Das Wiki oder das Forum zerschiessen. Und der beste Weg sich dagegen zu wappnen besteht m.E. darin, min. einmal (oder meinetwegen auch viermal) täglich ein Backup zu machen. Dann kann man recht flott alles wieder herstellen. Also statt SSL lieber die Arbeit in eine gute und funktionierende Backup-Strategie stecken (was man ohnehin haben sollte, ich weiss aber nicht was da gerade bei uns aktueller Stand ist), das wäre meine Empfehlung (falls man nicht doch irgendwo ein offizielles Zertifikat für umsonst bekommen kann).
Gruss, Oliver