Diogelwch gwefannau (rhan 3)

Yn dilyn ymlaen o gofnodion blaenorol am wefannau sy’n defnyddio technoleg SSL/TLS mae yna ddiweddariad pwysig arall yn y dyddiau diwethaf. I fenthyg ymadrodd rhywun arall, mae diogelwch ar gyfrifiaduron yn broses nid digwyddiad. Os ydych chi’n rhedeg unrhyw fath o wasanaeth cyhoeddus ar y we rhaid cadw fyny gyda’r dechnoleg a’r canllawiau diweddaraf.

Mae’r gwendid difrifol ddiweddaraf (o’r enw DROWN) yn defnyddio gwall ym mhrotocol SSL v2 er mwyn torri diogelwch ar brotocolau mwy modern TLS. Nawr, does dim rheswm yn y byd fod SSL v2 wedi ei droi ymlaen ar unrhyw wefan. Datblygwyd y ddau brotocol yn 1995 a 1996 a maen nhw’n llawn gwallau sy’n golygu nad ydyn nhw’n trosglwyddo gwybodaeth mewn modd cadarn a diogel. Doedd hyn ddim yn arfer bod yn broblem am nad yw porwyr modern yn defnyddio SSL v2 beth bynnag, ond mae wastad perygl o adael hen brotocol anniogel ‘yn y golwg’. A dyma lle mae techneg DROWN yn dod i’r fei.

Dwi ddim wedi galluogi v2 ar unrhyw system ers diwedd y 1990au. Ers cwpl o flynyddoedd dwi wedi troi v3 i ffwrdd hefyd – os ydych chi’n rhedeg unrhyw wefan e-fasnach ac yn cael arolwg PCI wedi ei wneud, hwn yw un o’r pethau cyntaf sy’n codi. Y dechnoleg fwyaf modern yw TLS 1.2 ond mae angen cefnogi TLS 1.0 ar hyn o bryd er mwyn gwasanaethu hen borwyr Internet Explorer 7-10 a hen fersiynau o Android ac iOS. O fewn cwpl o flynyddoedd, mi fydd TLS 1.0 yn cael ei ddiffodd hefyd.

Yn anffodus mae SSL v2/3 yn parhau i fod wedi eu galluogi yn ddiofyn ar nifer o systemau, yn enwedig gweinyddion Windows. Dyma rhai o’r gwefannau sy’n dal i’w ddefnyddio wrth i mi brofi heddiw:

  • plaid.cymru
  • traveline.cymru
  • agored.cymru
  • comisiynyddygymraeg.cymru
  • cynulliad.cymru
  • cardiff.gov.uk (newidiwyd tua 2016-03-19)
  • llgc.org.uk (newidiwyd 2016-03-04)
  • porth.ac.uk (newidiwyd 2016-03-04)

(ynghyd a nifer o wefannau prifysgolion sy’n rhy faith i’w rhestru)

Dwi wedi cysylltu gyda phawb ar y rhestr i rybuddio am y gwall.

Postiwyd yn Gwaith, Technoleg, Y We | Gadael sylw

Isdeitlau gorfodol S4C

Mae S4C wedi datgan eu bod am ddangos isdeitlau gorfodol (h.y. wedi llosgi ar y sgrîn) wythnos nesaf fel ymgyrch i godi ymwybyddiaeth o’r gwasanaeth isdeitlo. Mae hyn yn dilyn syniad dwl Tweli Griffiths ym mis Rhagfyr o roi isdeitlau otomatig ar y sianel.

Dyma gopi o ebost dwi wedi danfon at S4C.


 

Hoffwn gwyno am eich cynlluniau i osod isdeitlau saesneg gorfodol
ar rai rhaglenni wythnos nesa. Dwi’n gwrthwynebu am nifer o resymau:

1. Yr egwyddor

Rydych yn hoffi son o hyd mai S4C yw’r unig sianel Gymraeg yn y byd
(fel pe bai hyn yn rhinwedd yn hytrach na diffyg). Eto mae’r ‘unig
sianel Gymraeg’ yn gorfodi ei gynulleidfa craidd i edrych ar destun
Saesneg. Does dim synnwyr yn hyn.

Mi fydd gwylwyr sy’n drwm eu clyw neu byddar yn defnyddio isdeitlau
Cymraeg/Saesneg beth bynnag a fe alla’i hyn amharu gyda’r isdeitlau
wedi ei llosgi ar y sgrin.

2. Mae’n gosod cynsail peryglus.

Unwaith iddo gael ei wneud unwaith, fe fydd hi’n haws gwneud eto yn y
dyfodol ac yn arf defnyddiol i’r rhai sydd am weld y sianel yn troi’n
un dwyieithog.

Fe alla’i ragweld gwleidyddion anwybodus o Lundain yn ei ddefnyddio
fel esiampl o sut all S4C “ehangu ei apel” a pham ddim ei wneud drwy’r
amser? A pham ddim dybio rhaglenni neu ffilmiau saesneg? A pham ddim
rhaglenni dwyieithog? Ac ymhen dim dyna’r ‘unig sianel Gymraeg yn y
byd’ wedi diflannu.

3. Mae’n ddi-bwrpas

Dyw gwasgu botwm i droi isdeitlau ymlaen ddim yn anodd, mae wedi bod
yn dechnoleg safonol ar setiau teledu a bocsys digidol ers 35
mlynedd. Mae’n iawn i godi ymwybyddiaeth, fel yr ydych yn wneud gyda
hysbysebion ‘Bob’ ond peidiwch a dweud fod pobl di-Gymraeg yn rhyw dwp
a ddim yn gwybod sut i ddefnyddio isdeitlau.

Yn ol beth alla’i weld, ni fydd cyfle i weld copi ‘glan’ o rai
rhaglenni, fel Ochr 1 – Gwobrau’r Selar a Sam ar y Sgrin.

Felly, ni fyddaf yn gwylio S4C yr wythnos nesa o gwbl.


Diweddariad: Dyma ymateb Gwifren Gwylwyr S4C

Diolch yn fawr i chi am gysylltu i rannu eich safbwyntiau ynghylch y gwasanaeth isdeitlo Saesneg. Rydym wedi nodi eich sylwadau ac mi fyddan nhw’n cael eu rhannu â’r bobl berthnasol yn S4C.

Mae S4C yn cynnig sawl gwasanaeth er mwyn gwneud ein rhaglenni ar gael i gymaint o bobl â phosib. Mae hyn yn cynnwys arwyddo a sain ddisgrifio yn ogystal ag isdeitlau Cymraeg a Saesneg. Mae isdeitlau yn bwysig ar gyfer gwylwyr byddar a thrwm eu clyw ac yn ddefnyddiol ar gyfer dysgwyr hefyd. Rydym hefyd yn gwybod bod isdeitlau Saesneg yn rhoi cyfle i bobl sy’n llai hyderus yn y Gymraeg, di-gymraeg a chartrefi iaith gymysg i fwynhau ein rhaglenni.

Bwriad yr ymgyrch yma yw hyrwyddo gwasanaeth rydym yn ei gynnig yn barod. Am bum niwrnod wythnos nesa’ bydd isdeitlau yn awtomatig ar fwy o raglenni na’r arfer. Wedi hynny byddwn yn dychwelyd i’r drefn arferol ac yn annog gwylwyr sydd eisiau eu defnyddio i’w troi ymlaen er mwyn mwynhau ein rhaglenni.

Rydym yn derbyn adborth yn aml gan wylwyr sydd yn dymuno gwylio rhaglenni S4C ond ddim yn gwybod bod isdeitlau ar gael i’w helpu. Yn aml iawn hefyd mae pobl yn gofyn am help i droi isdeitlau ymlaen gan fod defnyddio’r gwasanaeth yn amrywio o deledu i deledu ac o ddyfais i ddyfais. Mae hyn yn broblem i lawer iawn o bobl ac rydym eisiau i wylwyr wybod ein bod ni yn gallu helpu drwy gysylltu â Gwifren Gwylwyr S4C.

Unwaith eto, diolch am gysylltu â ni i rannu sylwadau. Mae barn ein gwylwyr yn bwysig i ni. Bydd modd i chi wylio’r holl raglenni wythnos nesaf ar-lein ar alw heb yr isdeitlau. O ran y rhaglenni rydych chi wedi eu nodi yn benodol, yn ogystal â gwylio ar alw, bydd modd i chi weld Ochr 1: Gwobrau Selar heb isdeitlau ar S4C nos Fawrth 8 Mawrth am 10.05.

Mae yna rhesymeg od iawn fan hyn. Os oes yna ddarpar wylwyr yn dymuno gwylio ond ddim yn gwybod fod isdeitlau ar gael neu ddim yn gwybod sut i’w troi nhw ymlaen – yna dwedwch wrthyn nhw sut i wneud! Sut mae rhoi isdeitlau wedi ei llosgi ar y sgrîn yn helpu darpar wyliwr ddysgu sut i droi isdeitlau ymlaen ar gyfer gwylio yn y dyfodol? A dyw’r darpar wylwyr ddim yn gwylio S4C cofiwch felly beth yw’r pwynt dangos yr isdeitlau? Prin yw’r bobl sy’n ‘syrffio sianeli’ bellach gan fod pobl yn defnyddio EPG i ddewis beth i wylio.

Mae yna hysbysebion ‘Bob’ wedi ymddangos ar y sianel i hyrwyddo defnydd o isdeitlau ond cofiwch – fydd y darpar wylwyr ddim yn gweld hyn. Yr unig ffordd o’i cyrraedd yw hyrwyddo ar gyfryngau Cymreig eraill, er enghraifft drwy erthyglau mewn papurau newydd Cymreig neu hysbysebion ar BBC Wales neu ITV Wales. Felly mae’r ‘arbrawf’ o isdeitlau gorfodol yn un hollol ddi-bwynt ac yn fwy tebygol o ddieithrio siaradwyr Cymraeg mamiaith, ail iaith a dysgwyr.

Postiwyd yn Cyffredinol | 1 Sylw

Gorsaf y Gofod – prog roc Cymraeg o 1981

Fe wnaeth y blog Cymruddyfodoliaeth gan Rhodri Nwdls fy atgoffa i o hen gaset oedd gen i yn disgwyl cael eu ddigideiddio. Albwm gysyniadol gan Dafydd Pierce yw “Gorsaf y Gofod M123” a gyhoeddwyd yn 1981.

Mae’n albwm o gerddoriaeth prog roc, ac yn waith offerynnol heblaw am un gân – “Gwalaxia”, lle cyfansoddwyd a canwyd y geiriau gan Bryn Fôn. Mae’r enwog Pino Palladino yn chwarae gitâr fas ar yr albwm.

Dyma’r albwm cyfan i chwarae ar y wefan a mae’n bosib llwytho lawr bob MP3 yn unigol. O dan hynny mae sgan o glawr y casét.

Postiwyd yn Cerddoriaeth, Cymraeg, MP3 | 6 Sylw

Arolwg rhan 2: gwefannau diogel awdurdodau lleol Cymru

Dyma ail ran yr arolwg o ddiogelwch ar wefannau (gweler rhan 1) yn edrych yn benodol ar wefannau yr awdurdodau lleol. Mae 22 ohonynt ar hyn o bryd er fod ad-drefnu ar y gweill.

Wrth wneud yr arolwg yma, fe ddaeth hi’n amlwg i mi pa mor wastraffus yw cael 22 o wefannau unigol, i gyd o safon amrywiol. Er hynny mae llawer o’r wybodaeth ar wefannau y cynghorau yn benodol i’w ardal a mae yna fantais pendant i gadw hynny mor lleol a phosib.

Mae yna adrannau ar y gwefannau hyn lle mae diogelwch yn hollbwysig gan fod modd gwneud pob math o daliadau i’r cynghorau ar lein a gwneud ymholiadau a allai gynnwys gwybodaeth breifat.

Fe brofwyd yr holl wefannau yma ar 2014-11-27

Awdurdod Lleol Sgôr Nodiadau
Caerdydd A- SSL ar bopeth
Sir Benfro A- Ffurflenni ar secure1.pembrokeshire.gov.uk/ Taliadau ar payments.pembrokeshire.gov.uk
Sir y Fflint A- Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Civica)
Torfaen A- Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Civica)
Rhondda Cynon Taf A- Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Civica)
Bro Morgannwg A- Dim SSL ar ffurflenni. Taliadau ar payments.valeofglamorgan.gov.uk
Abertawe A-,C Ffurflenni ar SSL. Taliadau yn allanol ar SSL (Civica)
Sir Fynwy A-,C Ffurflenni ar SSL forms.monmouthshire.gov.uk Taliadau yn allanol ar SSL (Civica)
Wrecsam A-,C Ffurflenni ar SSL. Taliadau yn allanol ar SSL (Civica)
Sir Ddinbych B SSL ar bopeth
Merthyr Tudful B Ffurflenni ar SSL. Taliadau ar SSL payments.merthyr.gov.uk
Conwy B Ffurflenni a thaliadau ar SSL.
Blaenau Gwent B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Pen-y-bont ar Ogwr B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Sir Gaerfyrddin B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Sir Geredigion B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Gwynedd B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Ynys Môn B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Castell-nedd Port Talbot B Dim SSL ar ffurflenni. Taliadau yn allanol ar SSL (Capita)
Caerffili B,F Ffurflenni ar SSL. Taliadau ar SSL payments.caerphilly.gov.uk
Powys B,F Ffurflenni ar SSL. Taliadau ar SSL onlinepayments.powys.gov.uk

Mae’r canlyniadau yma yn eitha da ar y cyfan. Dwi wedi rhestru rhain yn ôl gradd a sut mae nhw’n delio gyda ffurflenni yn gyffredinol. Mae Caerdydd a Sir Ddinbych yn haeddu canmoliaeth am roi’r wefan gyfan ar SSL.

Mae nifer o’r cynghorau yn defnyddio gwasanaethau allanol i gymeryd taliadau felly mae nhw’n manteisio ar wasanaeth canolog sy’n cael eu ddefnyddio gan nifer o gyrff.

Fe wnes i brofi rhai o’r gwefannau yma cwpl o fisoedd yn ôl a dwi wedi gweld gwelliannau yn barod o ran gwefannau newydd yn cael eu lansio gan rai cynghorau a ffurflenni ymateb yn cael eu diogelu. Mae rhai graddau wedi disgyn o A i A- yn yr un cyfnod – sydd mwy neu lai yn ddibwys ond mae’n dangos sut mae angen cadw golwg gyson ar y gwasanaethau hyn.

Postiwyd yn Technoleg, Y We | 1 Sylw

Arolwg: gwefannau diogel yng Nghymru

Mae trosglwyddo gwybodaeth yn ddiogel ar y we yn gwbl hanfodol erbyn hyn. Enw’r dechnoleg yw SSL neu TLS – gweler blogiad cynt am esboniad – ac amgryptio (encrypt) y wybodaeth dros y rhwydwaith yw’r nod. Mae safonau amgryptio yn amrywio – dros amser mae’r algorithmau yn gwella a mae gwallau yn cael eu darganfod, felly rhaid gwneud yn siwr fod y dechnoleg yn cael eu ddiweddaru yn gyson.

Wrth reswm fe ddylai unrhyw daliadau ar lein fod yn ddiogel. Ar gyfer gwefannau masnachol neu wasanaethau cyhoeddus mae arfer da yn awgrymu y dylai unrhyw wybodaeth breifat gael eu ddiogelu hefyd e.e. cyfrinair, manylion archeb, cyfeiriad. Dyw’r wefan hon ddim yn defnyddio SSL am nifer o resymau: a) y gost, b) mae’n wefan bersonol, c) does dim gwasanaeth cyhoeddus hanfodol arno.

Dwi’n amau nad yw’r rhan fwyaf o ddefnyddwyr yn sylwi os yw gwefan yn ddiogel, ond mae eraill yn edrych am symbol y ‘clo’ yng nghornel y porwr neu ‘https’ yn y cyfeiriad. Er fod hyn yn arfer da, mae llawer mwy i ddiogelwch na hyn – fe allai gwefan ‘ddiogel’ fod yn anniogel mewn rhai sefyllfaoedd.

Mae hi’n bosib rhedeg profion ar wefannau i weld pa mor effeithiol yw’r diogelwch, a fe all hyn ddatgelu faint o sylw mae’r gweinyddwr yn ei roi i ddiweddaru y gweinydd sy’n cynnal y wefan. Rwy wedi cynnal arolwg ar rai o wefannau Cymreig i weld sut mae mae nhw’n defnyddio SSL. Dwi’n rhoi sgôr isod i brofi ‘cryfder’ y diogelwch – mae hyn yn deillio o brawf SSL Labs. Mae gradd A neu B yn dda, C angen gwella a mae F angen sylw brys.

Fe brofwyd y gwefannau yma i gyda ar 25/11/2014

Gwefan Gradd Nodiadau
Llywodraeth DU A Popeth ar SSL
Cynulliad Cymru A- Rhai ffurflenni ar SSL
Principality A- Adran gyfrifon ar SSL
NHS Cymru B SSL ar gael ond ddim mewn defnydd amlwg
Canolfan Mileniwm Cymru B SSL ar yr adran archebu
Portmeirion B SSL ar y tudalennau talu
Eisteddfod Genedlaethol B SSL ar y tudalennau talu
Gwales B Mae’r siop ar SSL
Venue Cymru C Popeth ar SSL
S4C F SSL ar gael. Dim tudalennau diogel i’w gweld
Comisiynydd y Gymraeg F SSL ar gael. Ffurflenni ddim yn ddiogel
Llywodraeth Cymru F SSL ar gael. Dim tudalennau diogel i’w gweld
Prifysgol Caerdydd F SSL ar gael. Dim tudalennau diogel i’w gweld
Llyfrgell Genedlaethol F Rhai adrannau diogel e.e. cofrestru
Amgueddfa Cymru F Dim SSL yn gyffredinol. Siop a rhoddion yn defnyddio taliad allanol e.e. Paypal

 

O edrych ar y gwefannau sy’n sgorio F – mae’n amlwg fod rhywun wedi mynd i’r drafferth o brynu tystysgrif SSL ar gyfer bob un (weithiau ar gyfeiriad sy’n wahanol i’r brif wefan). Ond nid pawb sy’n defnyddio y dechnoleg pan mae ar gael ac efallai fod hyn yn esbonio pam nad yw’r dechnoleg ar y safonau diweddaraf hefyd.

Sut mae’r pleidiau gwleidyddol yn wneud?

Plaid Gradd Nodiadau
Plaid Werdd Cymru  B Dim SSL ar ffurflenni. Ymuno drwy prif wefan Blaid Werdd (ar SSL)
Plaid Cymru  F SSL ar rhai ffurflenni e.e. Ymuno a chyfrannu
Llafur Cymru  F Dim SSL ar ffurflenni. Tudalen SSL i ymuno yn rhoi rhybudd. Ymuno ar brif wefan Llafur
Ceidwadwyr Cymru  F Dim SSL ar ffurflenni. Ymuno drwy prif wefan Ceidwadwyr
Democratiad Rhyddfrydol Cymru  F  Dim SSL ar ffurflenni. Ymuno drwy Google Docs!

 

Ddim mor dda felly. Mae yna wall eitha sylfaenol ar wefan Llafur Cymru am fod y dudalen “Ymuno â’r Lafur” (sic) yn cyfeirio at hen dudalen ar prif wefan Llafur, sy’n annilys bellach:

Os yw rhywun yn rhedeg gwefan e-fasnach, mi fydd angen pasio profion rheolaidd o dan drefn PCI, a mi fydd y profion yn darganfod y gwallau uchod. Hyd yn oed os nad oes taliadau yn cael eu derbyn ar wefan ddiogel mae hi dal yn ddyletswydd i gadw’r dechnoleg yn gyfredol.

Postiwyd yn Technoleg, Y We | 1 Sylw