Sikker login (https)

SSL er en måde at kryptere kommunikation mellem server og klient, og det bruges ikke kun til kreditkort, men også til mange andre ting, som f.eks. sikre loginsider.

SSI står normalt for Server Side Include og har intet at gøre med kryptering. Så du kan altså ikke bruge SSI til sikkert login.

For at bruge SSL skal du bruge (købe) et SSL certifikat fra f.eks. VeriSign eller TDC. Jeg mener VeriSign tilbyder gratis 30 dages prøvecertifikater (eller noget i den retning). SSL certifikatet skal installeres på webserveren, så det kræver du har adgang til den via fjernadministration, eller at du kan få hosting firmaet gøre det for dig.

Og, hvis du kommunikerer over SSL skal du blot lave et almindeligt loginscript i ASP eller lignende for at have et "sikkert" login. Du skal selvfølgelig stadig huske at beskytte dig mod SQL injections, Cross Site Scripting og andre ubehageligheder.

Ok. Men der er da 2 former for sikre logins? SSL og ...?

Har du nogen idé om hvad det koster? Og hvor meget kræver det rent programmeringsmæssigt?

du kan eventuelt kigge lidt på www.wannafind.dk s løsninger til både betaling og alm ssl kryptering.

Ok, så ikke lige dit indlæg.

Dvs. certifikatet sikrer, at når der logges ind, så benyttes SSL fuldstændig automatisk?

Med ssl kan du beskytte al kommunikation mellem siden og brugeren

Certifikatet giver dig mulighed for at kommunikere over SSL. Du skal så sætte webserveren op til kun at svare over SSL. Så er kommunikationen mellem server og klient krypteret, hvorved man f.eks. ikke kan opsnappe en brugers kodeord når han sender dem til din loginside. Det er dét der er formålet med SSL. Selve programmeringen af scriptet har som sådan ikke noget med SSL at gøre.

Har lige set, at prisen hos TDC er 2200,- i oprettelse på hosted server, og en månedlig afgift på 233,33. Så jeg tror jeg stikker piben ind igen :)

Tak for hjælpen :)

Jeg mener VeriSign er en smule billigere, men ja, det er ikke en billig fornøjelse.

Man lærer hver dag. Og dagens lektie må være, at en session alene må være rigeligt :)

der findes betydeligt billigere certifikater

se f.eks. http://www.rapidssl.com/starterssl/starterssl.html

bemærk at brug af SSL til web (HTTPS) har 2 formål:
  - kryptering af trafikken
  - bevis for at serveren er det firma som de påstår de er

hvis du kan nøjes med den første pind så kan du bare bruge et self signed
certifikat - så underskriver du selv - og det er gratis

krypteringen er fuldstændigt lige så god som med verisign

når nogen går ind på siden med HTTPS så vil browseren poppe op
med et vindue hvor der står at certfikatet ikke er udstedt af en kendt
autoritet, men accepterer man at fortsætte så virker det fint

Ja, det er helt andre priser. Dvs. jeg skal høre concor.dk, om de vil installere StarterSSL for mig, og er den fjong, så er det kørerende såsnart de har installeret det?

Forøvrigt, er der nogen ben i at bruge et self signed certifikat?

jeg kan ikke forestille mig at dit web hotel gør forskel på forskellige certifikat
leverandører - men om de vil ligge et certfikat ind og hvad de vil have for det
aner jeg ikke

Nej, og det tager kun et telefonopkald i morgen at finde ud af det :)

Hvad med self signed certifikat? Kræver det noget specielt? Noget kode?

jeg har aldrig brugt det til IIS

men jeg bruger det på anden web server

det kan man godt bruge lidt tid på at få til at virke

men det er jo meget sjovt

hvis man er type som fortrækker selv at compile sin web server etc.

teknisk set er et certfikat et certifikat

eneste forskel er om det er din eller Verisigns signatur som er på det

det har som sagt 2 konsekvenser:

- browseren kender verisigns underskrift men ikke din og vil derfor prompte for OK

- der er ingen garanti for hvem du er

Ok, det kræver så alligevel noget, og det er så spørgsmålet, om de vil, og hvor meget de i givet fald vil tage for det :/

arne, svarer du lige på http://www.eksperten.dk/spm/619782?

måske kan dit web hotel have en politik imod self signed certifikater - det ved
jeg ikke

Det kan selvfølgelig også være ligemeget hvem jeg er, sålænge brugerne er klar over, at det er for deres egen sikkerheds skyld. Så jeg tror jeg hører dem ad i morgen. Du skal have tak, arne :)

Hvis du skal have folk til at betale noget, så kan det jo godt være at
de sætter pris på Verisigns garanti for at du faktisk er Steen Hansen

Ja, men det er et ikke-kommercielt site, og det skal bl.a. også bruges til administration for visse brugeres vedkommende. Men da det er et ikke-kommercielt site, afhænger det fuldstændigt af prisen - indtil videre. På et tidspunkt kan det måske blive nødvendigt, men lige nu vil jeg gerne undersøge hvad det handler om, hvad det koster, og om det kan lade sig gøre.