SSL-certifikat

[korvgubbe]

Jag vill som sagt bara kryptera trafiken.

Är du enbart ute efter krypteringen kan du ställa ut ett eget certifikat för att kunna använda SSL:funktionen. Då kommer du åt krypteringen men besökaren får inget "intyg" på att din sida är den den påstår sig vara.

 

[Santo]

Är du enbart ute efter krypteringen kan du ställa ut ett eget certifikat för att kunna använda SSL:funktionen. Då kommer du åt krypteringen men besökaren får inget "intyg" på att din sida är den den påstår sig vara.

De flesta webhotell som stödjer ssl erbjuder även ett certifikat. Detta behöver nödvändigtvis inte vara utställt av en CA. Du måste även ha en dedikerad IP-adress.

Det som är störande är att webläsare för varje klick på en säker sida "varnar/upplyser" om att certet finns om det inte är utfärdat av en CA... om man inte kan fixa det själv

 

[korvgubbe]

Det som är störande är att webläsare för varje klick på en säker sida "varnar/upplyser" om att certet finns om det inte är utfärdat av en CA... om man inte kan fixa det själv

Ja, det är "priset" man får betala för att vara snål.. =)

Du behöver ju heller inte kryptera alla sidor utan bara de som är känsliga som inloggning och liknande..

Men "riktiga" certifikat är som sagt en trygghet för besökaren. Det är ju ett intyg på att du är du.

 

[Santo]

Jo men? en länk på nätet kan väl bara peka till ett ställe? Eller hur menar du?

Jag ska bara göra lite admin-sidor där jag inte vill att någon ska kunna sniffa till sig lösenordet. Är det t.ex. inte svårare att session-hijacka m.m. om man kör via https?

Om lösenordet är hårdkodat i dokument någonstan borde det ju vara mindre riska för det. Om Lösenordet ligger i en databas som webservern kommunicerar med är det väl lättare att "sniffa" till sig det. Rätta mig om jag har fel.

Men "riktiga" certifikat är som sagt en trygghet för besökaren. Det är ju ett intyg på att du är du.

Ja precis och det är det jag vill.

 

[korvgubbe]

Ja precis och det är det jag vill.

Då bör du kanske satsa på ett riktigt certifikat..
Då står det ju i certifikatet typ:
"Identiteten på denna webbplats har verifierats av Verisign"

Jag kan inte ge något bra svar på hur det är säkerhetsmässigt med lösenorden i en databas jämnfört med i ett dokument... beror ju även lite på vad du har för något i bakgrunden. Om du ska köra klassisk ASP, PHP eller .Net.

 

[apbot]

om du bara är ute efter säkerhet så kostar det dig 0 kr.
Att köra ssl på webserver kostar inget.
på 2003 server resource kit skivan finns selfssl.exe
kör den och generera ett cert

att köpa ett cert intygar bara att certifkat utgivaren litar på dig,
ex verisign
som i sin tur alla webläsare litar på.

eller sätt upp en egen ca

 

[Santo]

Då bör du kanske satsa på ett riktigt certifikat..
Då står det ju i certifikatet typ:
"Identiteten på denna webbplats har verifierats av Verisign"

Äh skit samma... jag slänger in Verisigns certificart i budgeten. Det kommer nog att löna sig i slutändan att värna så mycket som möjligt om kundens säkerhet.

 

[korvgubbe]

Äh skit samma... jag slänger in Verisigns certificart i budgeten. Det kommer nog att löna sig i slutändan att värna så mycket som möjligt om kundens säkerhet.

Allt beror ju som sagt på vad det är för tillämpning och syftet med krypteringen och certifieringen.

 

[Santo]

Allt beror ju som sagt på vad det är för tillämpning och syftet med krypteringen och certifieringen.

tillämpningen är att skydda personuppgifter, kredit- och betalkortsinformation och onlinebetalningar via Internetbak.

syftet med cetifieringen är att påvisa en trygghet för kunden och eftersom Verisign tycks vara bäst ansedda så blir det nog bra.

 

[korvgubbe]

tillämpningen är att skydda personuppgifter, kredit- och betalkortsinformation och onlinebetalningar via Internetbak.

syftet med cetifieringen är att påvisa en trygghet för kunden och eftersom Verisign tycks vara bäst ansedda så blir det nog bra.

Ja, då kan det nog vara en bra idé. Bara du känner att du har det ekonomiska utrymmet så.

 

[Santo]

Ja, då kan det nog vara en bra idé. Bara du känner att du har det ekonomiska utrymmet så.

20 000 mer eller mindre i sammanhanget kan ju kvitta då vi på SH verkar kunna bajsa pengar

 

[TomK]

Certifikaten handlar bara om förtroende. Men då bör man också ställa sig frågan om man litar på en extern organisation som vem som helst kan köpa certifikat ifrån ? Det är dessutom en mycket svag "säkerhet" i hur detta förtroende går från en rot och ner till användarna. Händer något med roten slås all underliggande struktur ut.

Betala inte mer än nödvändigt. Om det går, kan man gott köra med egensignerade certifikat. Inom en organisation kan rot-certifikatet sedan tryckas ut till webbläsare, epostklienter m.m. via Active Directory (för Windows). Då slipper man för hand lägga in det i varje klient eller att användarna hela tiden får klagomål från IE (som trots allt är vanligast).

Universitet och högskolor har SwuPKI som är ett svenskt CA.

Det är ingen skillnad i säkerhet mellan certifikaten - det handlar bara om hur smidigt man vill göra det för de "dumma" användarna och vad de litar på. Säkerheten ligger i krypteringen och valet av algoritmer (att t.ex. inte tillåta svaga SSL-varianter) och att användarna ska garanterat kunna känna igen certifikaten första gången de presenteras och godkänns.

Det är lätt att köpa sig falsk trygghet

 

[Santo]

Universitet och högskolor har SwuPKI som är ett svenskt CA.

Detta lät intressant.

Det är ingen skillnad i säkerhet mellan certifikaten - det handlar bara om hur smidigt man vill göra det för de "dumma" användarna och vad de litar på.

Det e ju en poäng

 

[[Akryl]*Amid]

Alltså, har inte ditt webbhotell ett SSL-cert som du kan hyra en "lokal"-licens av? Där jag ligger så erbjuder de i alla fall den tjänsten. Tror det är geotrust som de använder sig av. Kostar kring en tusing om året.

 

[Santo]

Alltså, har inte ditt webbhotell ett SSL-cert som du kan hyra en "lokal"-licens av? Där jag ligger så erbjuder de i alla fall den tjänsten. Tror det är geotrust som de använder sig av. Kostar kring en tusing om året.

Jo jag har ett sådant nu. men för den som surfar med IE blir "varnad" varje gång denne trycker på en länk. Det är jävligt störande och kan medföra att den som surfar köper sina prylar på en mindre "jobbig" site.

 

[[Akryl]*Amid]

Jo jag har ett sådant nu. men för den som surfar med IE blir "varnad" varje gång denne trycker på en länk. Det är jävligt störande och kan medföra att den som surfar köper sina prylar på en mindre "jobbig" site.

Ahh, jag trodde man slapp den skiten om man hade den tjänsten. Ja då suger det ju stenhårt.. och jag har inga andra förslag

 

[HanneZ]

Jo jag har ett sådant nu. men för den som surfar med IE blir "varnad" varje gång denne trycker på en länk. Det är jävligt störande och kan medföra att den som surfar köper sina prylar på en mindre "jobbig" site.

Men du ska väl bara använda https när du skickar dom känsliga uppgifterna? Då kan dom som mest bli varnade en gång?

 

[Santo]

Men du ska väl bara använda https när du skickar dom känsliga uppgifterna? Då kan dom som mest bli varnade en gång?

Nej, det varnas varje gång man går in på, uppdaterar eller länkas till en "säker sida" och det är fler än en (certet börjar att användas när man går in på sidan, inte när man skickar informationen)... speciellt när det gäller sidorna som är kopplade till kundens konto och dennes alla uppgifter.

 

[jayjay]

Det du behöver är att certifikat som kommer från en "per default" godkänd CA. Annars kommer alla browsers klaga såfort man försöker använda certifikatet.

Vi skaffade till jobbet, och kikade först på verisign. Alla känner till Verisign, men deras prisbild känns dock inte helt rimlig.

vi valde istället Thawte, som är en godkänd CA som standard i både IE och Mozilla samt Opera. Tror vi betalade $169 för 2 år, vilket är typ 10% av vad Verisign kostar.

 

[tuppjuck]

ssh? om du menar sh så körs inte något ssl-certifikat över huvud taget. Det handlar inte om att siten blir hackad eller inte utan snarare att skydda den information som skickas.

SSH är inte bara kryptering, men det är inget CA som har utfärdat ett certifikat, utan man får själv godkänna första gången man kopplar upp sig mot en SSH-server för att börja lita på förbindelsen.

TLS/SSL däremot använder certifikat och som kan användas för både kryptera och autentisering. dvs man har någon CA (CA=Certificate Authority, Certifikatsutfärdare) som man litar på. En del CA är globala och de litar "alla" på men man kan lika gärna tillverka ett eget certifikat men då måste lägga till denna CA:n som "trusted" för att man skall slippa få den frågan varje gång.

(inte specifikt till Santo utan som info i tråden. nu skall jag läsa ikapp och se om någon annan har svarat på det redan