Google märker HTTP-baserade webbplatser som osäkra från och med Chrome 68

@Sir_Manfred: kan rekommendera https://letsencrypt.org/ och använda https://certbot.eff.org/ - gratis med automatisk förnyelse.

@Sir_Manfred:
Beroende på om du kör nginx eller apache idag så finns det enklare respektive svårare sätt. Men skulle rekommendera letsencrypt med nginx. Kör unraid med dockerplugin från linuxserver.io funkar riktigt bra. Gå in på lsio:s hemsida så kan du hitta guider för det. Annars kan du pma mig så kan jag lotsa dig vidare beroende på hur din setup ser ut

Känns som svammel. HTTPS gör ingen skillnad om du kör Lynx, elinks eller netsurf om du inte har javascript, ecmascript, *script eller ens plugins ändå. Säg snälla vilken attackvektor de (malware skaparna) har mot en ren HTTP/HTML läsare som inte ens visar bilder. (Netsurf kan visa bilder, men det går att stänga av genom att inte installera några image translators och köra i framebuffer mode)

Ge makten över internet till certifieringsföretag så att de lättare kan ta bort ditt certifikat om du sprider oönskade åsikter.

Certifikat betyder inte att en sida är säker eller bra. Den hjälper till att kryptera informationen och gör det en smula svårare att leka med någons trafik.

Inte ens de bästa certifikat är speciellt säkra då själva CA går inte att lita på. Systemet är bättre än inget men långtifrån säkert i ordets rätta mening. Tyvärr är nyckelutbyte problematiskt och inget som går att lösa så att det är både enkelt och säkert. Certifikat satsar på enkelt och osäkert men fortfarande bra mycket bättre än ingen kryptering.

@martak: Tror du blandar ihop kryptering med hashning, SHA1 och SHA2 (där SHA256 ingår) är hashningsalgoritmer som används för själva certifikaten. SHA1 är det som Chrome varnar för om det används.

Råkade nyss ut för ett phising försök där sidan man skulle gå till såg ut som microsofts web-mail för exchange. I brevet fanns någon luddig beskrivning om varför man ville att användarna skulle logga in samt en länk.

Länken gick till en site som lyste grönt och "Secure" samt såg nästan ut som den web-mail login vi vanligen använder. Cerifikatet på denna site var ett *.domain.com vilket tydligen är vanligt på web-hotell.

Problemet är att man inte kan spärra bort hela domänen då det gäller web-hotell vilket gör att de som driver phisingsidan bara behöver byta namn och köra vidare.

När folks uppfattning om vad som är säkert eller osäkert på internet baseras på om det lyser grönt så kommer det även i fortsättningen att finnas jobb för support och tekniker då lösenord och konton skall återställas.

Inga certifikat i världen garanterar autenticitet. Det ända de säger ett en CA (som man kan lita på lika långt som man kan kasta den) någonstans i världen gav ut ett certifikat. Det finns ingen skydd i systemet mot DNS spoofing och liknande.

Så ja det är helt klart ett problem att folk tränas att tro att ett grönt lås eller företags namn garanterar säkerhet. Det är bättre än HTTP men långt ifrån så säkert som det bör vara. Tyvärr är utbyte av nycklar komplicerat plus att stater har noll intresse av säkert internet då de alla verkar vara kåta som fan på att övervaka allt och alla.

Edit/PS: grc.com's SQRL är ett extremt bra försök att införa autentisering som fungerar åt båda hållen. Det vill säga att du bekräftar din identitet till siten men att den gör så till dig med. Sedan får vi se om det faktiskt finns intresse för verkligen säkra system eller om det är bara skitsnack från företagen.

Ett hårt och onödigt slag mot de enda användbara sidorna på nätet - de som bara kört in ett CMS eller forum och sedan öst på med bra information. Medan krafsbloggare, skräpportaler och bedrägerisajter naturligtvis kommer att se till att de kör https.