Zitat
Original geschrieben von Mega93NoName
Beim Laden von Bildern, reine Text-Dateien, CSS-Dateien, welche in irgend einer Form inkludiert sind ist es nicht notwendig auf HTTPS zu setzen.
Mozilla macht das nicht aus Spaß, um jemanden zu ärgern. Ein Internet-Browser kann nicht entscheiden, was sensibel ist oder nicht. Erst recht dann nicht, wenn URL-Paremeter übergeben werden. Deswegen existieren Mixed-Content-Warnungen. Übrigens erhalte ich auch in Apples Safari ein Mixed-Content. Apple entfernt dann sogar das Schloss-Symbol. Mozilla entfernt nur den EV-Status.
Zitat
Original geschrieben von Mega93NoName
[HTTPs für Alles] erhöht nur die Datenlast unnötigerweise um ein Vielfaches.
In Zukunft wird alles auf HTTPs basieren. Mehr dazu … (bitte auch am Ende die FAQ lesen).
Zitat
Original geschrieben von Mega93NoName
Firefox hat bei mir in der Vergangenheit selbst in neuester Version Sicherheitszertifikate angemeckert …
Ich stehe gerade auf dem Schlauch. Was haben X.509-Zertifikatswarnungen mit Mixed-Content zu tun?
Zitat
Original geschrieben von Mega93NoName
Mozilla [unterstützt] oftmals […] Zertifikate nicht von Anfang an.
Na gut, lassen wir uns darauf ein. Deine besuchte Webseite listete seine Zertifikatskette nicht komplett auf. Das ist Stümperei, die Du dessen Webseiten-Admin melden solltest. Warum das in den anderen Browser geklappt hat:
Mozilla betreibt eine der bekanntesten Listen für CA-Zertifikate (die von so gut wie jedem anderen TLS-Client übernommen wird). Mozilla verlangt (wie jeder andere TLS-Client), dass der TLS-Server sein Zertifikat und alle Zwischenzertifikate (Intermediates) zu einem wohlbekannten Trust-Anchor mitschickt (Certificate Authority; CA). Ganz wenige TLS-Clients versuchen eine inkomplette Zwischenzertifikate selbständig zu vervollständigen. Dafür existieren zwei Konzepte:
A) AIA (Internet Explorer, Google Chrome und Apple Safari)
B) Sammlung aller bisher gesehenen Zwischenzertifikate (Mozilla Firefox)
Wegen AIA hattest Du einfach nur Glück, dass die Seite in diesen anderen Internet-Browsern keine Fehlermeldung gab. Eigentlich hattest Du Pech. Denn der Fehler liegt weiterhin nicht bei Mozilla sondern bei der Webseite selbst. Daher sind diese beiden Konzepte abzulehnen. Selbst ein gelernter Informatiker fällt darauf und denkt sich: Wenn in Browser X und Browser Y alles richtig ist, dann ist alles OK und Browser Z liegt falsch. Nur alle anderen Internet-Browser (Feature-Phones, Fernseher, und alle Nicht-Browser) können inkomplette Zertifikatsketten nicht auflösen und zeigen eine Fehlermeldung oder bauen die Verbindung gar nicht erst auf. Oder anders formuliert: Internet-Browser eigenen sich nicht, eine richtige Installation zu überprüfen. Sie eigenen sich nur dazu, unrichtige Installationen aufzudecken. Um eine Installation zu prüfen nimmt man direkt OpenSSL, die SSL-Labs und die SSL-Tools.
Lange Rede kurzer Sinn: Wenn Mozillas Firefox oder Apples Webkit einen Fehler melden, dann sollte man sich zweimal fragen, ob man alles richtig gemacht bzw. verstanden hat. Außerdem sollte man noch jemanden Dritten fragen. Firefox ist jetzt über ein Jahrzehnt im Internet unterwegs. Dank dieser Zeit an gesammelten Wissen und seiner Open-Source-Community finden sich weltweit Spezialisten, die Firefox täglich verbessern. Dank seiner Verbreitung und Bekanntheit finden sich sogar so viele Spezialisten, dass sie sich gegenseitig überprüfen können. Wer einen Fehler in Firefox vermutet – das ist OK, davon lebt die Community – sollte sich aber bewusst sein, dass ein Fehler bei sich oder der genutzten Webseite näher liegt.
Zitat
Original geschrieben von Mega93NoName
Ich würde Cookies setzen erlauben …
Was haben Cookies mit einer Mixed-Content-Warnung zu tun?
Egal, ich lasse ich wieder darauf ein. Wenigstens Drittanbieter-Cookies sollte man blocken. Sowas hat auf einer guten Webseite nichts verloren. Werbung OK, aber Nachverfolgen müssen die mich nicht.
Zitat
Original geschrieben von Mega93NoName
[Manch] Malware [spielt] falsche Zertifikate [ein] und [leitet] die Daten dann [um.]
Ja, aber was hat ein Schadprogramm mit Mixed-Content zu tun?
Zitat
Original geschrieben von THX1138.79
Einrichtungsassistent
Mhm. Ganz genau weiß ich nicht, wo Du warst, denn mit dem Festnetz-Tarif „Magenta Zuhause M“ hättest Du gar keine T-Online-Adresse anlegen müssen. Was ich gefunden habe, sind die Anmeldungen zum
A) Kundencenter Festnetz
B) Kundencenter Mobilfunk
C) T-Online Freemail
D) T-Online E-Mail » Taste „Menü“ » Einstellungen » Einrichtungsassistent
Letzteres war der einzige „Einrichtungsassistent“, den ich finden konnte (Stand Februar 2016). Aber Volltreffer: Mixed-Content mit den Dienstleistern GroupM (gmads.net) und Adform (adform.net). Zu finden über das Developer-Menü in Safari bzw. wenn man auf die Warnung im Firefox klickt. Entsprechend erscheint auch kein Schloss-Symbol in meinem Apple Safari = Verbindung ist unsicher.
Allerdings rotiert die angezeigte Werbung, so dass dieser Fehler nicht immer sichtbar ist. natalie, viel Spaß beim Weiterleiten und Aufspüren dieses Fehlers. Weil die Webseite „T-Online E-Mail“ so kompliziert ist, dürfte das einige Mühe erfordern, bis der Fehler isoliert wurde. Daher mein Tipp: Diesen Werbe-Unfug ganz lassen. Nach meinen Tests halten sich einige Eurer Werbepartner nicht an die Drittanbieter-Cookie-Sperre bzw. an die Do-Not-Track-Aufforderung und setzen statt Tracking-Cookies dann Tracking-Bilder.
Zitat
Original geschrieben von THX1138.79
Ich nutze als [Firefox-]Erweiterungen lediglich noch NoScript und Adblock Edge.
Diese Erweiterungen hat die Einrichtung zum Kundencenter-Mobilfunk (Webseite B) quasi kollabieren lassen. Vielleicht kann das Telekom-hilft-Team das ebenfalls weiterleiten (als separate Fehlermeldung). Auch im Apple Safari sehe ich haufenweise Fehler und Warnung über die Fehlerkonsole im Entwickler-Menü. Das alles sind so Mini-Fehler, die wirklich nicht sein müssen..
Zitat
Original geschrieben von Deutsche Telekom
Ergebnis der SSL-Labs für die Webseite email.t-online.de: Klick
Weil Mega93NoName damit angefangen hat – das Ergebnis ist zwar mit A+ traumhaft gut, aber die Installation hat trotzdem einen gravierenden Mangel: Der Trust-Anchor ist nicht „Deutsche Telekom Root CA 2“ sondern „T-TeleSec GlobalRoot Class 3“. Diese Ausgabestelle ist erst seit Anfang 2013 wohl bekannt. Alle Mobiltelefone und Fernseher die Ihr vorher verkauft habt, geben folglich eine Fehlermeldung aus.
Mein Tipp:
A) Installiert auf diesem Server wenigstens das Cross-Signing-Zertifikat zu „Deutsche Telekom Root CA 2“. Das kostet gar nichts, weil einfach nur eine Text-Datei ausgetauscht werden muss und aktuell eh schon ein überflüssiges Zertifikat mitgeschickt wird. Oder noch besser (kostet aber Geld):
B) Nehmt die selbe Zertifikatskette wie auf der Webseite accounts.login.idm.telekom.com. Dieser Server nutzt eine Zertifikatskette, die zur VeriSign-Generation-1 auflöst, und damit sogar mit Geräten kompatibel ist, die in den 90ern rauskamen.
