THEMA: Pothe.de Sicher/nicht sicher???

Moin Rae,

wahrscheinlich bist Du beim einloggen versehentlich auf den darüberliegenden Werbebanner gekommen.
Das wäre mMn. die einzige Erklärung, da Pothe.de unter anderem Moba-Software anbietet.

Gruß Kai

@Kai
Pfuiiiii ,also zum Glueck nichts los!
Sehr vielen Dank fuer die schnelle Reaktion ,Kai .
Noch einen schoenen Sonntag.
Mhg.,
Rae

Hallo,

bei mir passierte exakt das auch öfter in den letzten Tagen, allerdings nur unter iOS. Da ich immer eingelogged bleibe, kann es nicht an einem Vertipper liegen.
Modellbahnsoftware hin oder her, das ist so nicht in Ordnung und es kann nicht ausgeschlossen werden, dass irgendwas kompromittiert ist. Immerhin genügt bei mir »Abbrechen« zu klicken. Dabei bleibt mein Status stets »angemeldet«.

Schöne Grüße, Carsten

Hallo,

mir geht es mit iOS genauso wie Carsten.

Viele Grüße

Jörg

Hallo nochmal,

gerade eben passierte es wieder, heute erstmals. Es wird übrigens dabei kein Werbebanner angezeigt. Offenbar provoziert jeweils nur der Aufruf des Pothe-Banners das Einloggfensterchen.

Schöne Grüße, Carsten

@Joerg
@Carsten
Auch bei mir handelt es sich um iOS.....
Obwohl ich jedes mal auch noch die "Cookies setzen um eingelogged zu bleiben " aufs neue aktiviere , muss ich mich jedes Mal dass ich auf 1:160 komme ,voellig aufs neue einloggen.
Wie ist das bei euch?
Mfg.,
Rae

Hallo Rae,

ich bleibe eingeloggt.

Jörg

Hallo,

mit meinem Smartphone mit Android-Betriebssystem geht sporadisch beim surfen im 1zu160-Forum ein Fenster auf um mich bei Pothe.de einzuloggen.

Grüße
Markus

Hallo,

Dieser Fehler dürfte nur bei Safari unter ios auftreten.   Warum das so ist, kann euch eventuell Apple verraten.

Lg
Ismael

Hallo !

Hat zwar mit dem Einloggen im Forum nichts zu tun,aber lästig ist es doch.

Gruß : Werner S.

Die von wernerS zu diesem Beitrag angefügten Bilder können nur von registrierten Usern gesehen werden - Login

Hallo Ismael,

das Problem hatte ich die letzten Tage mehrfach auf meinem iPhone - also auch Safari. Tauchte immer dann auf, wenn ich bei einer Seite "zurück" gemacht habe. Allerdings auch nicht immer. Denke das hängt mit irgendeiner Werbung zusammen. Ist leider ziemlich nervig.

Liebe Grüße
André

Hallo Ismael,


Doch nicht... Bei meinem "uralten" Nokia C5 (also ohne Safari und ios) wird mich auch seit kurzem gefragt in einem kleinem Fenster um meinem EMAILADRESSE und PASSWORD... Auch hier nach >>abbrechen<< bleibt mein Status immer noch »angemeldet«.

Grüße aus NL,
Bert

Hallo,

ich würde da vermuten, dass die Seite oder der Bildlink, der von dem in Forum integrierten Werbebannerscript aufgerufen werden soll fehlt und deshalb dann eine Rückmeldung zum Login von Pothe.de kommt. Da kann Ismael wohl nur temporär die Einblendung dieses aktuell nicht verfügbaren Werbebanners unterbinden.

Viele Grüße,
Danilo

Hallo,
ich weiß nicht, was da bei Euch schief gelaufen ist, bei mir gibt es aktuell keine Probleme. Nichts destotrotz habe ich mal eine Änderung am Server vorgenommen, sodass hoffentlich keiner mehr Probleme hat. Ich habe da eine Vermutung, dass es an einer Fehlkonfiguration lag, die sich nur auf Uralt-Browser ausgewirkt hat, weil neuere Browser automatisch alles per https laden, während veraltete Browser auch noch auf unverschlüsseltes http zugreifen (weswegen das Problem bei mir auch nie aufgetreten ist). Sollte jetzt aber (hoffentlich) behoben sein.

Unter welchen Systemen habt ihr Probleme gehabt? Sprich, Browser, Gerät, IPv4 oder IPv6?

Hallo Ismael,
unter Safari unter iOS habe ich das Fenster noch nicht gesehen aber mit Safari unter OS X El Capitan



Browser (Safari) ist Aktuell also kann es nicht an einem Uraltbrowser liegen, an einer Fehlkonfiguration natürlich durchaus.
Allerdings bin ich die Tage wo die Meldung gekommen ist über ein Hotel WLAN online gegangen.

Gruß Alex

Hm, dann scheint der mobile Safari noch kein HSTS Preloading zu können, weswegen da das Bild noch per http statt https geladen wird.

Hallo Ismael und Andy!

Ich surfe mit Firefox 45.1.1 unter Windows 7. Bei mir ist dieser Dialog zum Einloggen am Server auch schon gekommen. Sieht genauso aus, wie der Dialog, wenn man eine mit Passwort (z.B. .htaccess oder Webserver unter Win nicht anonym aufrufbare) geschützte Seite aufruft.

Liebe Grüße

Boris

Edit: da pothe.de nicht gleich 1zu160.net ist, werden die Anmeldedaten von 1zu160 auf pothe.de sicher nicht funktionieren. Sind doch zwei verschiedene Server. Ich vermute auch, dass der Dialog erscheint, wenn ein anzuzeigender Werbebanner auf pothe.de Passwortgeschützt ist.

Edit 2: mit http vs. https hat das nichts zu tun

Hallo Boris,



sofern der Fehler jetzt nicht immer noch bei einzelnen auftritt, schon.

Folgende Situation:
In der http-Konfiguration war der Fehler drin, dass ich dem Webserver nicht gesagt habe, dass er für die Domain pothe.de explizit auf den beiden zugeordneten IP-Adressen (je eine IPv4 und IPv6) lauschen soll. Dieses hatte ich aber für eine andere Domain gemacht, die derzeit noch keinen öffentlichen Inhalt hat und deswegen mit einem Passwort geschützt ist. Diese andere Domain hat aber die gleiche IPv4-Adresse wie pothe.de (aber eine andere IPv6). In der https-Konfiguration bestand dieser Fehler nicht, dort hatte ich die IP-Adressen explizit angegeben.
Die modernen verbreiteten Browser (scheinbar mit Ausnahme des mobilen Safari) wissen jedoch von Haus aus, dass die Domain pothe.de ausschließlich per https angesprochen werden will (sogenanntes HSTS-Preloading [1]), weswegen der Werbebanner trotz Verlinkung hier im Forum mittels http immer verschlüsselt über https aufgerufen wird.
Daher erstaunt es mich vielmehr, dass dein Firefox angeblich das gleiche Phänomen gezeigt hat. Entweder fehlt bei dir aus irgendeinem Grund die HSTS Preload-List oder irgendein Addon/eine Einstellung sorgt dafür, dass diese nicht beachtet wird. Denn auch im Firefox ist pothe.de schon seit langem in der HSTS Preload List enthalten.

Deswegen auch meine Bitte: Falls das Phänomen weiterhin auftritt, mir das bitte hier oder per E-Mail mitteilen unter Angabe des verwendeten Browsers/Betriebssystems. Gern könnt ihr auch hier testen:

Hier die verlinkte Grafik: http://www.pothe.de/images/1zu160/apmodellbahn-diemodellbahnverwaltung.jpg
So sollte sie aussehen: https://www.pothe.de/images/1zu160/apmodellbahn-diemodellbahnverwaltung.jpg

Wer den ersten Link anklickt, sollte eigentlich automatisch den zweiten in der Adresszeile sehen, sofern der Browser HSTS Preloading unterstützt (oder eben HSTS unterstützt wird und innerhalb der letzten 12 Monate bereits https://www.pothe.de besucht wurde) und eine halbwegs aktuelle Preload-Liste besitzt.

[1] https://de.wikipedia.org/wiki/HTTP_Strict_Transport_Security


Edit: Im Screenshot in #10 sieht man ja auch, dass vor unverschlüsselter Übertragung des Kennworts gewarnt wird (im alten Internet Explorer, der auch kein HSTS Preload kann). Das würde der Browser nicht machen, erfolgte der Zugriff über https.

Hallo Andy!

Seit gestern bekam ich diese Aufforderung zum Einloggen nicht mehr und beide Links in #18 lassen sich problemlos öffnen. Da wollte mein FF wohl die Grafik von Deiner anderen Domain, die derzeit noch keinen öffentlichen Inhalt hat und deswegen mit einem Passwort geschützt ist, laden.

Allerdings frage ich mich bei dieser Gelegenheit wieder einmal: worin liegt der Sinn, eine WebSite verschlüsselt zu übertragen, solange keine sensiblen Daten ausgetauscht werden? Bei Telebanking, Webshops ist klar, dass das ohne https nicht sicher ist und vermieden werden muss. Aber ein Werbebanner verschlüsselt per https? Wozu?

Freundliche Grüße

Boris