Tre hurtige spørgsmål ifm. ssl

Taler vi om en betalingsløsning, for så kan du tilmelde dig en færdig løsning
til få penge.

http://pay.freeway.dk/
http://betaling.viborgnet.dk/sikkerhed.php

/per

Jeg taler ikke om en betalings løsning, men om mulighed for at kigge i en database og indtaste i en database, hvor databasen indeholder ganske følsomme oplysninger.

1) Det betyder, at du ikke må sende/modtage personfølsomme data, da det 40bit ikke er stærk kryptering. En 40bit er selvfølgelig nemmere at bryde end en 128bit.

2) Så ville jeg da mene, at du selv kunne udstede dit certifikat, hvis du altså ved hvem brugerne af siden er, og dermed kan installere certifikatet i deres browser.

3) Ja, der er masser af andre firmaer - søg på Google.

Thomas --> Tak... Du lyder usikker på svar nummer 2? tjener certifikatet andre formål end at "sige god" for at serveren er den den siger den er?

i 3) havde jeg håbet på nogle konkrete anbefalinger, fra nogen der har erfaring med dem. Men jeg går ud fra jeg i princippet kan bestille mit certifikat i taiwan (eller USA), uden det betyder noget?

2) Det er ikke noget problem selv at udstede et certifikat. Det eneste er så, at browseren ikke automatisk godkender certifikatet, da det selvfølgelig ikke vil stå på listen over godkendte certifikater. Hvis du kender hver bruger til siden, kan du jo bare installere certifikatet på deres browsere.

3) Jeg har desværre ikke erfaringer med andre end Eurotrust, men har hørt godt om flere andre, da jeg selv undersøgte sagen. Jeg vil ikke anbefale nogen bestemt, når jeg ikke har nogle erfaringer med dem, men du kan søge på Eksperten og finde flere forskellige (billigere) alternativer til Eurotrust.

tak igen. Lige her til sidst.

Hvad er det man betaler for hos eurotrust/(veriSign) i forhold til de betydeligt billigere udbydere?
Ifølge http://www.whichssl.com/html/comparisons/index.html kan man få et 128 bit certifikat helt ned til 49$, contra veriSigns 895$.

Er det virkelig tilliden til firmanavnet "veriSign", der har så høj en pris?

Ja det tror jeg rent faktisk det er. Så længe certifikatet er standard i IE, er det vel ligemeget hvad firmaet hedder. Så er der måske forskel i service osv., men når certifikatet først er installeret på serveren, kører det jo bare.

Det er ikke tilliden der koster penge, men veriSign skal også dække omkostningerne ved deres navn. Det koster nemlig penge at være kendt, for du skal hele tiden bruge en masse penge på markedsføring. tænk bare på mærketøj...

/per

Det kommer også meget an på hvad formålet med certifikatet er: Hvis det noget med personfølsomme oplysninger (skal være 128bit ifl. Persondataloven) eller penge involveret, bør man bruge et godkendt certifikat. Hvis det er knap så vigtige oplysninger, kan man sagtens udstede sit eget og evt. bruge 40bit kryptering.

Du kan også udstede dit eget 128bit certifikat...

Aladdin software til pakning af filer anvender 512bit til kryptering. :-)

/per

Thomas... Jeg kan ikke helt se klart, hvad du mener.

Mener du at til det formål jeg har beskrevet giver det IKKE øget sikkerhed med et købt certificeret, eller mener du det giver øget sikkerhed?

Det varer vel heller ikkke mange år før 128 bit kryptering også er outdatet

Jo, selvfølgelig giver det øget sikkerhed, at dataene er krypterede - det gør jo, at de ikke kan opsnappes undervejs fra klient til server og omvendt. Den kryptering er, så vidt jeg ved, lige sikker uanset om du køber certifikatet eller selv udsteder det. Problemet med et udstedt certifikat er, at klienten ikke ved, hvor troværdig certifikatet er - det ved de, hvis der står Verisign.

Mht. graden af kryptering, hører 128bit kryptering ind under stærk kryptering, og er ikke lige sådan at bryde. Hvis det bliver nemmere indenfor et par år, skifter man vel bare til 256bit ell. lign.

Du har jo ikke rigtig beskrevet formålet med det du skal bruge det til, men umiddelbart kan jeg ikke se, hvorfor du ikke selv skulle kunne udstede certifikatet.