SSL Problem, sichere und unsichere Objekte

[Sebastian Rahmel]

Ich habe ein Problem:

Problematik:
Wir haben ein Script entwickelt, welches über MySQL und PHP Controlling Berechnungen nach Eingaben von Usern durchführt. Das ganze liegt auf einem Server mit einer Thawte SSL-Zertifizierung.

Hauptsächlich bei Personen, die Proxy-Server verwenden, kommt die Meldung: "Die Seite enthält sowohl sowohl sichere als auch nicht sichere Objekte. Möchten Sie die nicht sicheren Objeket Anzeigen?"

Nach der Bestätigung mit "JA" bricht der Ladevorgang ab und die Seite kann nicht angezeigt werden. Aktualisiert man die Seite, geht alles wieder.

Verwendete Browser der Anwender
- Internet Explorer ab 5.5 (Problem taucht in mehreren Standorten in Deutschland auf)
- Mozilla Firefox ab 1.06 (tauchte nicht auf, aber war auch nicht hinter Proxy)

Verwendete Scriptsprachen
- PHP
- Javascript
- HMTL (mit Frames und Pop-Ups)

Versuchte mittel
- Ausschalten der Chache-Funktionen des Browsersmittels PHP header-Funktion (no-cache etc.)
- Neuer Server
- http:// Ports gesperrt (Port 80)

Ausgeschlossene Fehlerursachen
- keine http:// Links im gesamten Code. Alle Links sind relational oder mit https:// (auch nicht in PHP, Javascript oder CSS-Dateien)
- keine leeren Frames
- keine Fehler im javascript werden angezeigt

Hat jemand eine Idee? Ich komme einfach nicht mehr weiter. Danke.

[Falk Prüfer]

Hallo Sebastian,
<hr noshade size=1><cite>Nach der Bestätigung mit "JA" bricht der Ladevorgang ab und die Seite kann nicht angezeigt werden.</cite><hr noshade size=1>
Ich gehe davon aus, das dies der eigentliche Grund für die Meldung ist! Muß der Browser bei einer https Verbindung eine seiner lokalen Fehlerseiten ausgeben, dann meldet er diese vorher als "unsicher", da sie ja von einer NICHTHTTPS Location kommt.
Aus meiner Sicht wäre also eher zu klären, WARUM die Seite als nicht erreichbar angesehen wird. Welche Zugriffe protokolliert den der Webserver bei dem Phänomen und wie werden sie beantwortet?

Gruß Fal

[Falk Prüfer]

kleiner Nachtrag:
der IE hat meist seine "eigene Meinung" darüber wann eine Seite wirklich nicht cachebar ist. Ein header pragma no-cache reicht dafür oftmals nicht aus. Nach meiner Erfahrung kann ich die Cache-Funktion des IE nur mit pragma: no-cache + Cache-Control: no-store, no-cache, max-age=0, must-revalidate sicher ausschalten.
Dem Firefox genügt ein einfaches no-cache!

Gruß Fal

[Sebastian Rahmel]

Das mit dem Caching hat nichts gebracht, war wohl auch schon vorher weitgehend so. Die andere Lösung (mod_ssl) ist in der Mache.

Hat jemand noch eine andere Idee

[Falk Prüfer]

Habt ihr vielleicht in einer Seite eine Weiterleitung (o.ä.) per JavaScript drin, die unter bestimmten Umständen (ein spezieller Frame noch nicht geladen etc.) abbricht und die Seite dadurch wg. "kann nicht geladen werden" die lokale Fehlerseite des Browsers hochbringt? Diese wäre dann aus SSL-Sicht unsicher und würde die Warnung produzieren.

Gruß Fal