Netflix vil skifte til HTTPS

Illustration: leowolfert/Bigstock
Streaming-tjenesten vil øge sikkerheden for brugerne, men gør det samtidig sværere for internetudbyderne at identificere Netflix-trafikken.

Streaming-tjenesten Netflix vil i løbet af det næste års tid begynde at kryptere samtlige brugeres forbindelser til tjenestens servere. Det skriver QZ.

Dermed vil Netflix gøre det mere sikkert for brugere, som eksempelvis vil bruge tjenesten over et ukrypteret netværk.

Med Netflix' skifte til krypteret trafik, vil mængden af HTTPS-trafik stige betydeligt, idet Netflix i aftentimerne i USA kan udgøre en tredjedel af internettrafikken.

Det tal vil dog samtidig blive vanskeligere at opgøre, idet internetudbyderne vil få sværere ved at identificere Netflix-trafik.

Dermed er det også muligt at se Netflix' skridt som led i den strid om netneutralitet, hvor netop Netflix har måttet indgå aftaler med amerikanske internetudbydere, der ellers ønskede at begrænse den øvre båndbredde for Netflix.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (22)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Dennis Krøger

Dermed er det også muligt at se Netflix' skridt som led i den strid om netneutralitet, hvor netop Netflix har måttet indgå aftaler med amerikanske internetudbydere, der ellers ønskede at begrænse den øvre båndbredde for Netflix.

Tror ikke at det har så meget at sige. For udbyderne kigger de nok mere på hvem trafikken kommer fra, og det kan de stadig uden problemer.

  • 2
  • 0
#4 Thue Kristensen

Selvfølgelig skal der ikke være en 10 karakter grænse på passwords. Men så længe Version2 har en limiter bygget ind så en angriber ikke kan passwords af uhæmmet hurtigt, så er 10 karakterer nok til at være sikker, hvis dit password er valgt godt nok.

  • 3
  • 0
#6 Peter Jensen

Jo mere kryptering af internettrafikken, jo bedre. Bare fyld NSAs datacentre op med krypteret trafik. Vi ved jo at de gemmer alt krypteret trafik permanent, så jo mere ubrugeligt materiale de skal gemme, jo bedre for demokratiet og den frie verden.

  • 1
  • 1
#8 Benjamin Balder

Hvad er grunden til at Version2 ikke bruger HTTPS?

Tjah, her er nogle svar fra 2013:

Angående SSL, så er det ikke noget vi har planer om at implementere i den nærmeste fremtid. Der er en række andre forbedringer til sitet, der er prioriteret højere.

Som nævnt drejer det sig om karakteren og prioriteringen af de andre opgaver, vi har i afdelingen, der også tæller virksomhedens andre sites. Set i relation til dette befinder implementeringen af SSL sig et stykke nede af listen. Derfor må jeg beklage, at vi ikke i den nærmeste fremtid vil få SSL på Version2.dk.

Her i 2015, må jeg konstatere, at de har holdt deres ord!!

Nu tager det jo ikke meget mere end højst en time at købe et certifikat og installere det på en HTTP server... så man må undres over denne idiotiske arrogance. I det mindste minder det os om vigtigheden af ikke at genbruge passwords :)

  • 4
  • 1
#9 Steffen Schumacher

Du har da helt ret - men jeg ved fx ikke om der kunne være mere i det som fx: 1. Distribueret setup med rigtig mange unikke hosts, der hver især skal have sit eget certifikat (www1.version2.dk, www2...) og Wildcard certifikater stinker imo. 2. Deres CPU forbrug vokser idet serverne skal bruge krudt på at kryptere - jeg har ingen anelse om hvor meget dette 'koster' men det kunne måske være anseeligt for et niche medie som v2.

Anywho - det kan sagtens skyldes sløvhed, men det kan også være en informeret beslutning.. Og iøvrigt er det nok ikke min kommunikation med v2 jeg frygter bliver snoopet..

  • 4
  • 1
#10 Peter Jensen

  1. Distribueret setup med rigtig mange unikke hosts, der hver især skal have sit eget certifikat (www1.version2.dk, www2...) og Wildcard certifikater stinker imo.
  2. Deres CPU forbrug vokser idet serverne skal bruge krudt på at kryptere - jeg har ingen anelse om hvor meget dette 'koster' men det kunne måske være anseeligt for et niche medie som v2.

  1. Flere hosts kan sagtens (og bør) bruge samme certifikat. De behøver ikke hver unikke certifikater. Jeg tvivler i øvrigt på at et lille site som version2.dk har mere end en enkelt webserver eller to. Det er jo ikke Youtube eller Facebook vi taler om.

  2. Det er en myte fra gamle dage at HTTPS kræver en masse ekstra kapacitet af serveren. De CPUer og ciphers vi bruger i dag er så effektive at det ikke gør nogen synderlig forskel. Alle nyere webservere har fx Intel-CPUer med AESNI-instruktionssæt - og Elliptical Curve-baserede ciphers er ekstremt hurtige. Not a problem.

Version2 modtager ifølge Journalisten (et blad) kr. 1.200.463,16 i mediestøtte fra skatteyderne i 2015, så det burde også være muligt at bruge et par kroner på et webservercertifikat. Det burde faktisk være en pligt, når man modtager skatteyderstøtte.

  • 3
  • 1
#11 Tobias Skytte

Det er ikke version2 der har begrænsning på 10 karakterer, det er NetFlix...

Og selvom de evt. skulle have en 'limiter' indbygget så er det ekstremt dårlig sikkerhedspolitik at have en sådan begrænsning. Hvis man er vant til at bygge sine passwords op på en bestemt måde eller bruger en password generator som f.eks. laver 16 karakters passwords så skal man til at bøvle med det for at ændre til 10 karakterer osv. Det er dårligt for sikkerheden fordi så er tendensen til at folk giver op og bare væleger '123456' som password det højere...

I øvrigt kan en sådan limiter sikkert omgås ved at distribuerer angrebet via et botnet..

  • 1
  • 0
#14 Michael Hansen

Mon ikke Netflix låser en konto hvis der kommer mere end xx loginforsøg til den...

Det er jo på den anden side heller ikke særligt smart, hvis hvem som helst kan låse alle mulige andres konto bare ved at lave et par fejl logins.

Nej, så hellere at man kan få lov at definere et random password på op til ca. 256 tegn, uden alt muligt bullshit med man ikke må have både store og små bogstaver (ser på dig NemID), eller special tegn (....).

Hvis jeg vil have et password ala: BTe(,NpPC^bhfw2k=M2Bnq46.p&$~B$D*cs+JP!eY6EDwaM#NrUdmmYSZWR]YtbxAs?=~+3SH`zKaf_J()NrB9hCuyXw2YN$de&B;U*tq(C2<=<#(h3"'E<!bEy5aeJ;56aEVH!+5_By9,<uyN.\LR[Fg9JZBmZJ-SDN8W8}TmkHG_CW4${K}]FqK5t>hU4^>n@qGw%#'^Aw)"j,]ux~ZA,Q-h=DB4h~>.E77ADBgmEA7}&z5.mE(9Q}}DZ

Så lad mig, istedet for alle mulige underlige password politiker der forhindrer et ordentligt password.

Derudover ville det være rart hvis flere sites tilbyder ordentlig 2-factor authentication, til de ting der er lidt mere kritisk end ting som f.eks version2.dk

  • 0
  • 1
#16 Peter Jensen

Det er jo på den anden side heller ikke særligt smart, hvis hvem som helst kan låse alle mulige andres konto bare ved at lave et par fejl logins.

Det er smart at en konto bliver låst hvis nogen forsøger at gætte passwordet. To-faktor løser intet. Dette kan man også gætte på.

Er man så klovnet at man ikke kan taste eller huske sit password rigtigt efter fx 20 forsøg, så må man nulstillle det alligevel via hjemmeside/mail/telefon.

  • 0
  • 1
#18 Michael Hansen

Det er smart at en konto bliver låst hvis nogen forsøger at gætte passwordet.

Der er vi dybt uenige, har allerede oplevet nogle få sites der fungere sådan, en udefrakommende kan forhindre at jeg selv med korrekte oplysninger kan logge på mine konti, og skal til at bruge 10-15 minutter på at få genskabt adgang til mig selv, eller i værste fald skal vente på en eller anden helpdesk efter et par uger vender tilbage.

Nej tak, så vil jeg hellere have mulighed for at bruge et 256 tegn komplet random password, det kan folk så bruteforce det de vil på.

Prøv at tænk det igennem, jeg finder ud af hvad dit brugernavn er (ofte en email adresse / vist på sites som forums etc.), og jeg vil i princippet kunne forhindre dig i nogen sinde at få adgang til din konto, ved konsekvent at prøve 20 forkerte passwords. hver x antal minut.

  • 0
  • 1
#19 Peter Jensen
  • 0
  • 2
#20 Milos Game

internetudbyderne vil få sværere ved at identificere Netflix-trafik

Nu ved jeg ikke helt hvordan HTTPS fungerer, men hvis jeg ikke tager fejl (ret mig endeligt!), så gør transport protokollen det, at den opretter forbindelse fra IP "B" (B = Bruger) til IP "N" (Netflix), og krypterer trafikken i mellem dem, hvilket betyder at man ikke kan se hvilke data/sider der bliver indlæst. Det eneste man kan se er IP adresserne på B og N.

Hvis jeg som internetudbyder kan se at der (over en tidsperiode på cirka 2 timer) er overført "X antal MB/GB" fra N til B, så er jeg ret sikker på at N har streamet en film/serie til B.

Korrekt?

  • 0
  • 0
#21 Ulrik Suhr

At de bruger https gør intet i forhold til ISP. De kender jo stadig afsender og modtager. Det eneste der sker er at de ikke kan se med hvad brugerne ser på netflix.

Hvis de skal tage det videre så implementere Netflix en peer to peer løsning ala torrent. Så kunderne "streamer" fra hinanden. Det kunne gøre deres egen load på servere meget bedre og gøre det umuligt for ISP at følge med i evt. trafik fra netflix...

  • 0
  • 0
Log ind eller Opret konto for at kommentere