05. juni 2003 - 15:29Der er
24 kommentarer og 1 løsning
Sikker kommunikation til/fra hjemmeside
Hej
Jeg skal til at sætte mig lidt konkret ind i et emne, og hvad er et bedre sted at starte end eksperten (når nu google ikke umiddelbart giver noget brugbart)!?
Jeg har en hjemmeside og ønsker at det skal være muligt for personer at logge ind på siden og foretage sig forskellige ting. Det i sig selv bør ikke volde de helt store problemer.
Det mit spørgsmål mere handler om er at en del af de "ting" brugerne skal kunne foretage sig involverer udveksling af ganske personfølsomme oplysninger. Hvordan laver jeg en sikker udveksling af disse oplysninger?
Fyr bare løs med alt hvad i har, så må vi se på point-afregning bagefter.
I lang tid har samarbejdsbranchen fokuseret på at forbedre enhedsfunktioner – bedre kameraer, klarere lyd og smartere software. Men den virkelige forvandling handler ikke om funktioner.
Hvis vi taler om personfølsomme fortrolige oplysninger, bør du gøre meget ud af hele din sikkerhed.
Nu spørger du specefikt efter selve kommunikationer, har bør du anvende VPN og så lade dine brugere logge på med windws 2000 logon så sikkerheden er sat op som om de var på det lokale net,
Du bør dog gøre noget for din sikkerhed generelt også
--> Bufferzone: Det lyder ikke ligefrem som en "webside løsning", og jeg bryder mig ikke rigtig om win2k kravet. Men KMDs netborger.dk, div netbanker og meget andet er da et eksempel på det kan lade sig gøre.
Det er klart det er ligegyldigt om kommunikationen er sikker, hvis datalagringen alligevel ikke er det!
Når vi snakker personfølsomme oplysninger, vil det første jeg kigger på sikkerhed, sikkerhed og atter sikkerhed. Det er vigtigt at der ikke er nogen udefra kommende der kan komme til at se oplysningerne. Et sted jeg var kig vi fra idéen igen, fordi vi havde folk som mente at det simpelt var for farligt at lave løsningen.
Nu nævner du ikke om det er jeres egen server eller hos en host. Hvis du har mulighed for det ville jeg nok lave det så internt som muligt for at kunne begrænse adgangen til dataene end del mere end ved en hoster. Ved egen server, kan vi begynde at snakke VPN eller SSL.
Det er derfor jeg taler om en løsning med VPN (eller SSL) her kan du nemlig beskytte både kommunikation og lagring.
Det jeg forstår ved "en webside løsning" er passwordbeskyttelse af hjemmesider med f.eks. asp, php eller javascript eller en kombination af flere dele. Denne løsning er i mine øjne ikke nok til at beskytte personfølsomme data.
VPN giver mulighed for rimelig sikker fjernopkobling til et lokalt netværk, du kan dermed bruge de sikkerhedsmekanisker der er indbygget i det lokale netværk. Det jeg allerheldst ville bruge var en dial back løsning afskåret fra Internettet, og så køre VPN med kryptering af data over denne forbindelse
Arne>hvis du laver den slags ASP, PHP, jsp ting er det så ikke kun kommunikationen du beskytter. Med en vpn løsning beskytter du både kommunikationen og dataen. Kunne man kombinere den kommunikations beskyttelse du foreslår med brugernavn/password beskyttelse via NT logon på fil niveau og dermed også beskytte data.
skra> en firewall med vpn kan fås for under 2.000,- kr. resten af beskyttelsen er almindelig sund fornuft, ordentlig opsætning af systemerne og updatering af samme
Både SSL/HTTPS og VPN er beskyttelse på transport niveau.
Præcis samme funktionalitet men implemeneteret på forskellige lag.
Forskellen er at HTTPS kun kan bruges til browser-webserver kommunikations mens VPN kan bruges til al IP kommunikation.
Men da det her jo kun (så vidt jeg har forstået) drejer sig om browser-webserver kommunikation kan jeg ikke se behovet for VPN.
Tilsvarende med kontrol til filer. Hvis brugerne skal have adgang til filer, så er VPN mødvendigt. Men det skal de jo ikke til en typisk web-applikation.
Det er: browser----webserver----serversidescript----database uden mulighed for fil-adgang.
Jeg ved at der er glimrende muligheder i JSP/servlet for at kontrollere adgang til funktionalitet og data. Jeg er 99.999% sikker på at både ASP og PHP også har det.
Det er helt standard for web-applikationer.
Og det er ikke særligt udbredt at koble web-applikation login sammen med NT login, fordi man vil helst undgå at oprette alle de NT kontoer.
Det er kun smart hvis det er medarbejder adgang til firma over internet hvor de allerede har en NT konto.
Arne v--> Tak for den lange udredning. Det lyder betydeligt enklere realiserbart end de tidligere forslag. Bare lige for at sikre at jeg har forstået det korrekt (det er jo ret svært at tjekke om de løsninger man vælger er "sikre"). Hvis jeg får fat i en server, der understøtter SSL vil kommunikationen til og fra serveren være krypteret så det er så godt som umuligt at opsnappe data for andre Echelon o.l.? Jeg har bare lidt svært ved at forstå hvordan det kan lade sig gøre, men det vil jeg prøve at finde lidt litteratur om.. nogen anbefalinger på dette område?
Jeg har da læst en lille smule krypteringsteori, der taler en del om problemerne med at distribuere nøgler til klienten og serveren. Jeg forstår bare ikke lige helt hvordan det foregår på sikker vis med SSL, og jeg kan ikke se det står beskrevet i de links du har fundet.
Min gæt efter at have skimmet lidt er at både client og server har både en private og en public key. Og at de bruger dem til at sikre overførelen af en symmetrisk key til kryptering af data.
Synes godt om
Ny brugerNybegynder
Din løsning...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
