https:// på server....?

HTTP protokollen kører over almindelige sockets.

HTTPS er HTTP protokollen over SSL sockets.

Det gør at HTTP-serveren og browseren kommunikerer
sikkert.

Bemærk at der er et forholdsvist stort overhead med at
etablere en SSL connection (=bruger en masse CPU kraft
medmindre man har hardware SSL accelerator).

Alle gængse HTTP-servere (Apache, IIS) kan køre SSL.
Fortæl hvilken du bruger ig vi kan give dig instruktioner om
hvordan du enabler det.

HTTPS håndteres af serveren. Du laver dine HTML sider,
dine CGI-scripts, din PHP/ASP/JSP etc. fuldstændigt
ens hvorvidt de skal transporteres med HTTP eller HTTPS.

Jeg sidder med en IIS-server.

På den side jeg skal lave, skal nogle brugere kunne hente nogle dokumenter, der vedrører deres bestillinger i en mindre virksomhed. Det er derfor vigtigt, at andre ikke kan læse disse dokumenter.

Først skal man logge ind, hvilket vel så kan laves ved et alm. ASP-script, der jo afvikles på serveren, der skulle være sikkert ved brug af HTTPS?

Hvordan får man sikret sine øvrige dokumenter og sin database, så kun brugeren med det rigtige kodeord får adgang hertil? Enhver kan jo downloade et dokument på serveren, hvis de blot kender den relevante adresse...

Hvordan får man fat på HTTPS?

At sikre at kun brugere med korrekt username/password læser dokumenter
er en standard funktionalitet i ASP.

Den og spørgsmålet om HTTP versus HTTPS er helt uafhængige af
hinanden.

HTTPS enabler du inde i properties på din web-server.

(husk du skal have et certifikat for at køre SSL)

Det jeg mente var adgang til en database med ikke-asp-dokumenter (såsom word-dokumenter), men jeg opretter blot et nyt spørgsmål vedr. dette ;)

Hvis jeg således har forstået det rigtigt, så køber man en licens til brug af SSL og installerer det på serveren, hvilket så skulle være nok til at lave sikre sider (hvis éns sider da iøvrigt er sikrede med kodeord)?

Der findes også funktionalitet i HTTP protokollen til at protecte
statiske dokumenter (ikke genereret af ASP).

Det kan du også sætte op i IIS.

Jeg er ikke ekspert i MS licens politik. Men jeg troede faktisk
at man kunne aktivere det uden videre.

Du skal betale for et certifikat, hvis du vil have et der giver
dine brugere tillid til hvem du er. Men du kan lave et gratis
såkldt self-signed certifikat. Krypteringen er lige god, men dine
brugere har ingen garanti for hvem du er.

Og bare for at der ikke er nogle misforståelser.

Vi snakker om to helt adskilte ting:

1)  Protection af sider. Enten banalt med HTTP. Eller mere avanceret
    via ASP, session og login.

2)  Kryptering af transport (og muligvis garanti for hvem serveren tilhører).

HTTPS tager sig kun af #2.

(hvis #1 er tilpas vigtig så skal #2 også være på plads, da skumle
typer ellers kan hapse brugernavn/password fra en legal bruger ved
at aflyttet net-forbindelsen)

IIS kan både #1 og #2.

Men hvis man ikke benytter HTTPS, er så kan hackere (eller andre ondsindede mennesker) vel få fat i kodeord sendt afsted af brugerne?

Kender du nogle gode artikler på nettet, der belyser problemstillingen? Det ville jo være rart for mig, hvis jeg kunne ordne det hele blot vha. IIS, men hvis det er mere sikkert tilmed at benytte HTTPS, så er det jo nok mest fornuftigt.....

Ja hvis ikke man bruger HTTPS kan trafikken aflyttes.

IIS kan som sagt også sættes op til HTTPS.

Der er masser af kurser i den slags.

Men jeg kan ikke lige umiddelbart finde et godt link på nettet.

Tak for hjælpen! Jeg må lede videre i internet-junglen - en lille smule klogere, men stadig med MEGET at lære om sikre sider....

Det firma jeg arbejder for leverer bl.a. certifikater, installationsvejledning til IIS og kurser i sikkerhed, sig blot til hvis du er intereseret.

Har dit firma en web-adresse, hvor jeg kan se nærmere på kurserne?

Ja det gør det jo lidt lettere ;-)
http://www.eurotrust.dk/dk/training/