Da Chrome 68: i giochi HTTP segnalati come non sicuri!

25/07/2018 12:45:57

Ho sempre utilizzato i servizi di google ma chrome non sono mai riuscito a digerirlo. Solitamente tendo a scartare prodotti che vengono utilizzati da troppe persone XD

firefox for life

quota

12/12/2018 11:44:49 e modificato da gdr-online.com il 07/10/2019 17:22:51

In realtà anche Firefox si stà muovendo (o si è mossa) nello stesso identico modo di Chrome 😖

quota

11/09/2019 23:32:03

A proposito di fully compliance con https... segnalo che dall'altro giorno è ufficialmente morto e sepolto l'infame tinypic.com, il quale credo fosse uno degli ultimi grossi siti di hosting a non essersi ancora convertito a sua volta ad https.

Non so come siano messi gli altri ma nella mia land diversi giocatori lo usavano ancora (le immagini dei PG vengono caricate da link esterni forniti dai giocatori), abbiamo colto l'occasione per invitare tutti a usare siti di hosting https. A questo punto però mi chiedo: esistono ancora servizi di hosting per immagini che si ostinano a usare http? Nel senso, secondo voi nel 2020 potremo dare ragionevolmente per scontato che tutte le immagini linkate dagli utenti stiano a loro volta su https anche senza bisogno di imporlo con un controllo a monte?

---

quota

12/09/2019 01:51:58

Basta che un pg prenda e salvi le immagini sul suo sito di altervista senza abilitare l'https (che non è abilitato di default) e ti salta il bollino verde per contenuto misto.

Per questo io comunque inposterei un controllo a monte che tutti i contenuti tipo immagini e audio/video siano in https, tramite una regex, e in caso non siano in https hai due soluzioni

O li pialli

O li rendi sicuri trasformando il link implementando (bastano poche righe di codice) un "proxy ssl".

Per chiarirmi meglio se hai tipo un link che è http://miosito.rog/immagine.jpg la regex individua che non è un https e convert eil link in:

https://urldellaland/ssl.php?media=http://miosito.rog/immagine.jpg

dove il file ssl.php è il file che fa da proxy ssl, recuperandop la risorsa se non è nella cache del browser attraverso curl o file_get_contents() per poi visualizzarla.

In questo modo il browser prende il nuovo link come sicuro.

quota

17/09/2019 11:38:44

Uhm... addirittura una regex? Che io sappia il blocco dei contenuti misti si può fare anche in HTML puro, basta una riga nell'header:




Certo, così li pialli e basta, ma a questo punto mi verrebbe anche da chiedermi quanto abbia senso prendersi la briga di riscrivere gli URL con ssl. Non mi viene in mente nessun buon motivo per cui un utente di una land debba aver bisogno di linkare qualcosa tramite http, dal punto di vista puramente teorico mi piace di più l'idea di forzare la connessione sicura rendendo gli utenti consapevoli di cosa significhi il lucchetto verde piuttosto che aggiustare gli URL a loro insaputa.

---

quota

17/09/2019 20:46:50 e modificato da ghennadi72 il 17/09/2019 21:17:53

Il controllo tramite regex lo facciamo dall'apertura di IGI 1.0 (grazie a Blancks e oORazorOo per la consulenza fornitaci a suo tempo), è vero che sono rognose (c'è chi sostiene che il programmatore medio - che non le conosce a fondo - normalmente si ritrova a dover risolvere 3 problemi creati dalle regex per ogni problema risolto con le regex) ma una volta capito il principio per il tipo di controlli richiesti, diventa relativamente facile applicarlo in tutti i casi in cui è necessario un controllo su risorse esterne richiamate dal sito.

Detto questo:

1) Implementazione https sul nostro dominio: prevista ma non prioritaria. Prima dobbiamo anzitutto decidere se restare con l'attuale servizio hosting e se passare a una VPS poi agiremo di conseguenza.

2) Per le immagini (certificati prodotti in gioco, avatar dei personaggi, ecc) inserite da questo momento in poi verranno accettati solo i link provvisti di https o le immagini verranno rifiutate al momento dell'inserimento del link.

Che fare delle immagini dei certificati e degli avatar già esistenti, se la mancanza dell'https linkato esternamente fa perdere il bollino verde? Mia risposta E STICAZZI

Francamente ho smesso di preoccuparmi relativamente e limitatamente ad un sito di PbC che non vende manco gadget nè prevede donazioni online di inseguire le follie di google, apple e browser che a ruota si adeguano.
Problema che peraltro abbiamo avuto anche con l'incorporamento di audio da youtube (che è sempre di google), con il quale chrome (che è sempre di google) crea problemi a updgrade di versioni alterne, rifiutandosi a random di avviare l'esecuzione del brano richiesto da un upgrade all'altro del browser e facendolo sentire di nuovo all'agggiornamento di sotto-sotto-sotto-versione successivo, per poi disabilitarlo di nuovo, eccetera.

Con centinaia di certificati esistenti in gioco non ho alcuna intenzione di perdere il sonno io o di farlo perdere ai giocatori per fargliele ricaricare tutte.

Niente bollino verde perchè su un vecchio certificato é rimasto un link a una jpg con indirizzo che inizia per 'http' anzichè 'https'? Di nuovo: E STICAZZI.

Il nostro non è un sito di e-commerce non riceve nè invia dati di natura personale (non mi riferisco al gdpr, lo so che tecnicamente anche un nindirizzo email farlocco è considerato 'dato personale', intendo alla lettera = dati che possano, se malevolmente intercettati, effettivamente identificare la persona fisica e permettere l'esercizio di attività illecite o furti di identità) od economica, manco abbiamo banner esterni se non il bannerino di gdr-online di un altro sito, i nostri utenti non fanno transazioni finanziarie tramite il gioco.

Non ti fidi perchè non c'è il bollino verde di chrome/firefox e temi che io voglia accedere al tuo conto in banca offshore alle bahamas o fregarti i rimborsi del 730 e i contributi dell'INPS? Ma và giù per la piena e non registrarti. Io dormo ugualmente.

Mi spiace per l'atteggiamento che ad alcuni utenti potrebbe dare un'impressione di sottovalutazione delle loro esigenze di sicurezza e di privacy, ma é lo stesso discorso che vale per le mappe flash. Vuoi vedere le mappe grafiche? Usa un browser che ti permette di visualizzare animazioni flash senza doverle riabilitare a ogni upgrade, se no te la cavi con la lista testuale delle locazioni. Con il nostro sistema delle frame quest, che spostano il gioco in regioni diverse del westeros ogni due per tre (e di conseguenza cambiano spesso le mappe di riferimento) flash è ideale per realizzare rapidamente mappe animate con i link al volo. Non ti fidi? Pensi che voglia usare le mappe flash di Città della Talpa o del Moat Cailin per fotterti i soldi sul conto di Paypal? E sticazzi, non registrarti da noi o accontentati delle mappe testuali.

Ci adegueremo (controvoglia perchè significa comunque un esborso extra non giustificato per l'uso che facciamo dei dati ricevuti e trasmessi), ma gran calma.

Capisco bene la politica di google/apple e altri produttori di browser che si adeguano semplicemente per non "restare indietro" e perchè certo non possono fare eccezioni per una nicchia risicata di gestori di giochi play by chat, ma francamente mi auguro che il portale non contribuisca nel far passare l'idea che un gdr che non si accoda a politiche pensate (giustamente) per proteggere identità fisiche e transazioni finanziarie, sia un gdr insicuro o poco serio con l'utenza.

---

quota

19/09/2019 11:07:10

Ah beh ma su questo sono d'accordo... quando leggo sul portale orgogliose dichiarazioni del tipo "mi iscrivo solo a giochi https" sono il primo a grattarmi la testa (specie considerando che anche con https il gestore potrebbe tranquillamente salvare tutti i dati in chiaro). E se mi avessero detto cinque anni fa che i giochi online con quaranta utenti avrebbero dovuto dotarsi di certificato SSL mi sarei messo a ridere. Siccome però ormai i certificati SSL li regalano (letteralmente), qualunque sito che ospiti degli utenti registrati prima o poi dovrà adeguarsi. Indubbiamente ci saranno ancora alcuni anni di margine, ma un bel giorno i browser potrebbero anche decidere di rifiutarsi categoricamente di visualizzare siti in http. È un po' lo stesso discorso della versione di php... c'è gente che ha mantenuto per anni un sito in php4 su altervista fino a che una triste mattinata del 2016 l'hosting ha terminato il supporto e il sito gli è crollato come un castello di carte.

Poi capisco che avere centinaia di immagini da spostare sia un problema... io ho presente la situazione di Sigil dove i contenuti audio/video sono quasi inesistenti e anche il personaggio più personalizzato non arriva a 20 immagini (tipicamente c'è solo l'avatar e qualche oggetto equipaggiato), se dovessi dire agli utenti "spostate tutto" credo che nessuno si metterebbe le mani nei capelli. In realtà molti l'hanno dovuto fare comunque per cause di forza maggiore quando tinypic è esploso.

---

quota

04/10/2019 14:01:27 e modificato da gdr-online.com il 04/10/2019 14:04:13

Ho brutte notizie: https://www.webnews.it/2019/10/04/google-chrome-blocco-contenuti-http/ https://www.webnews.it/2019/10/04/google-chrome-blocco-contenuti-http/

A partire da Chrome 79, Google inizierà a bloccare il caricamento dei contenuti (immagini, audio, video e altro) che provengono da connessioni HTTP.

Sarà possibile autorizzare i singoli siti manualmente ma ptoete caprie quanto sia scomodo.

quota

07/10/2019 16:02:44

Posso andare un pò contro corrente? Non entro nel merito di https si https no ma mi chiedo perchè il mondo dei play by chat deve essere sempre l'ultimo ad adeguarsi.

Play by Forum sono tutti passati ad https
MMORPG praticamente tutti passati
Browser Game praticamente tutti passati
Social Game sono tutti passati ad https

Tutto il settore è passato e il play by chat sta ancora parecchio indietro con decine di giochi in HTTP. Poi sento parlare di come avvicinare nuovi giocatori al pbc. Una X rossa con scritto "sito non sicuro" non aiuterà certo il ricambio.

Ripeto, dell'https me ne frega 0, però l'immagine che ne esce è davvero "antica" di giochi ancorati ad un vecchio web.

My two cent.

quota

07/10/2019 16:32:44

Credo che la risposta alla tua perplessità sia che il circuito di forumfree dove si trovano la maggioranza dei play by forum, se non sbaglio, sia passato quasi subito all'Https, mentre la maggioranza dei play by chat, essendo hostata su altervista per poter passare all'Https doveva fare una serie di balzelli. Il procedimento era un po' macchinoso e non sempre positivo.
Ad esempio bisognava prima attivare cloudflare che dava non pochi problemi di rallentamento e caricamento delle pagine come conditio sine qua non, per attivare il protocollo https.
Ora mi pare che non sia più così, è possibile anche forzare il protocollo https su altervista senza per forza attivare cloudflare (credo)

---

quota

Giochi di Zombie

Lista completa dei giochi di ruolo online ambientati in mondi invasi da zimbi e non-morti! Sopravvivi!

Svuotare Cache

Come svuotare la cache del browser in tutti i principali browser?

Film Supereroi

Cinque film di supereroi che avreste dovuto vedere, ma ne dubito!

Licantropi

Lista dei giochi con Licantropi!