SSL certificaat

[Cakkie]

Ik heb eens een vraagje over SSL certificaten.

Ik heb een website en door uitbreidingen komt daar meer en meer gevoelige informatie bij aan te pas. Om de gebruikers gerust te stellen wil ik de site op SSL laten draaien, zodat die gevoelige informatie niet plain-text over het net gaat.

Ik ben even aan het testen gegaan, en ik kan via mijn host gewoon het standaard certificaat van de server gebruiken. De domeinnaam komt dus uiteraard niet overeen, het certificaat (1024-bit) is uitgegeven door een onbekende instantie, en het certificaat is ook al vervallen sinds 2001. Hoe veilig is zoiets nog? (los van het feit dat die lelijke waarschuwingen absoluut niet professioneel overkomen). Is het in dit geval mss niet gewoon beter dat ik zelf een certificaat uitschrijf op die domeinnaam (dan is het enkel het probleem van de niet vertrouwde cert authority)?

Als ik er uiteindelijk mee doorga, dan wil ik natuurlijk wel een 'normaal' vertificaat, zonder fouten dus. Als ik echter online wat rondzoek, dan kom ik op zeer verschillende prijzen uit. Bij Verisign gaat dit van $200 tot $1000 per jaar, bij Perfect SSL kost begint het al vanaf $40. Zit daar een verschil in, of is het enkel de naam van de authority die ik extra betaal?

[eweps]

Je betaald meer voor de beschikbaarheid van het certificaat in alle browsers en een hogere maximale schadevergoeding.

Indien je verder geen schade kunt oplopen door de gegevens die verstuurd worden kun je gewoon de goedkoopste nemen, die wordt tevens door de meeste browsers ondersteund.

[Matthieu]

De domeinnaam komt dus uiteraard niet overeen, het certificaat (1024-bit) is uitgegeven door een onbekende instantie, en het certificaat is ook al vervallen sinds 2001. Hoe veilig is zoiets nog? (los van het feit dat die lelijke waarschuwingen absoluut niet professioneel overkomen).
Het feit dat de instantie onbekend is of het certificaat vervalen is maakt de encryptie niet minder, dus ja.... het is 'nog wel veilig'.

Als het je puur om encryptie gaat en je geen meldingen wil, kun je overigens net zo goed een self-signed certificaat gebruiken en dat certificaat laten importeren door je gebruikers, dan ben je ook van die meldingen af.

Wil je het je gebruikers makkelijker maken, dan kun je natuurlijk gaan voor een 'echt' certificaat van bijvoorbeeld PerfectSSL, RapidSSL, Verisign en vele anderen.

Welke je 'moet' hebben hangt meestal van de schadevergoeding zoals eweps al aangeeft, gaat het je puur om de encryptie dan kun je de goedkopere nemen.

Ik meen overigens dat bij PerfectSSL er gebruik gemaakt wordt van een intermediate certificaat wat dus ook nog geïnstalleerd moet worden op je server of door je host. Ik persoonlijk vind een single-root certificaat toch handiger en het kost niet enorm veel meer (vooral als je via een reseller koopt).

[Henky!]

Volgens mij geeft zo'n self signed certificaat ook waarschuwingen.

[pierce]

Volgens mij geeft zo'n self signed certificaat ook waarschuwingen.

Niet als je hem importeert en aangeeft dat het certificaat veilig is.

[Cakkie]

Volgens mij geeft zo'n self signed certificaat ook waarschuwingen.

Daar ben ik me ook van bewust hoor (vandaar dat ik zie "dan is het enkel het probleem van de niet vertrouwde cert authority"). Ik wilde vooral weten of dit zelfgeschreven certificaat "veiliger" is dan dat vervallen certificaat van 2001, waar Matthieu dus al op geantwoord heeft.

[Marin]

Wij betalen geloof ik 20 of 30 euro per jaar voor onze certificaten, gaat in alle browsers goed, ik denk dat je ook wel voor de naam betaald.

[Xolphin]

SSL Certificaten leveren wij al vanaf 19 euro per jaar, maar loopt het ook op tot over de duizend euro. Er zijn echter wel een hoop verschillen, in de goedkopere certificaten zitten geen bedrijfsgegevens, in de iets duurdere weer wel. Support voor mobiele telefoons en PDA's is nog weer een stapje duurder, en zo kun je het zelf zo duur maken als je wil. Wij raden meestal aan om een certificaat te nemen met mimimaal de bedrijfsgegevens er in, omdat dat er een stuk professioneler uit ziet.