SSL certificaten, hoe belangrijk vinden jullie het?

[Trafego]

Hier ben ik wel eens benieuwd naar,

Ik ben van mening dat klantengegevens goed en vooral veilig bewaard moeten blijven. Veel hosters en webdesigners hebben een database online..

Hoe belangrijk vinden jullie de beveiliging hiervan?
Ik zie vaak omgevingen niet eens met een fatsoenlijke md5 hash beveiligd namelijk..

webshops idem dito, 90+% niet beveilgd (van de 6000+)
Vond het toch wel iets om even bij stil te staan,. Het word echter snel vergeten, of onhaalbaar door kennis gebrek, geen eigen IP ter beschikking (shared hosting)

Mijn persoonlijke mening: Ja dit moet beveiligd zijn (ik heb vandaag daarom ook de SSL certificaten aangevraagd)

nu jullie mening, vooral waarom wel en waarom niet..

[blaaat]

Mij lijken andere problemen veel belangrijker, fouten/lekken in scripts op websites enzo.
De kans dat zo'n verbinding wordt afgetapt lijkt mij in het niet vallen bij de hoeveelheid bugs in de website zelf. Als je met creditcard gegevens aan de slag gaat is SSL natuurlijk wel handig / verplicht.

[nielsrenselaar]

Vroeger was dit veel relevanter, niet dat het risico weg is, maar wat is tegenwoordig nog de kans dat je gegevens afgetapt wordt als je aan het webshoppen bent? Naast dat de meeste gegevens niet echt inhoud hebben voor iemand die aftapt (wat heeft hij of zij er aan als ik mijn boodschappen bestel via internet via een onbeveiligde verbinding?).

Voor banken vind ik het een vereiste, vooral met de phising mogelijkheden e.d. vind ik het een goed kenmerk voor de gebruiker om het te herkennen dat het een veilige pagina is. (neemt niet weg dat ze zelf ook de url e.d. moeten controleren).

Wij adviseren het al onze klanten wel, maar moet toegeven dat wij zelf ook nog geen SSL certificaat hebben aangeschaft, dat ga ik nog wel even doen want je moet natuurlijk wel het goede voorbeeld geven.

Maar goed, ik vind dat het grote gevaar in slechte systemen zit, dan in het aftappen van de verbinding waar eventuele gegevens uit gehaald kunnen worden

[KDISS]

het certificaat dat de server zelf aanmaakt kan je ook accepteren waarna encryptie toegepast kan worden, het verschil zit hem in de Authority (SA was het toch?) die hardcoded in je browser staat in een trusted lijst. En in die lijst staat je server echt niet en dus krijg je daar een berichtje over, en dat is voor grotere partijen slordig, maar ach...

[systemdeveloper]

Maar goed, ik vind dat het grote gevaar in slechte systemen zit, dan in het aftappen van de verbinding waar eventuele gegevens uit gehaald kunnen worden

Hahaha, you wish

Elke beheerder en/of stagiare die ergens tussen een hop van jouw pc naar de website zit... kan zonder problemen je gegevens sniffen als je geen ssl gebruikt. Of die mensen daar ook misbruik van maken is een totaal andere vraag natuurlijk, maar het is open-en-bloot. Het ontvreemden van data is hierbij dus niet beheersbaar.

Een security bug op een website is ook niet fris natuurlijk, echter daar kan je als programmeur iets aan doen, misbruik wordt vaak gelogged, het IDS laat belletjes afgaan etc... Dit is wel beheersbaar dus.

Dus eigenlijk moet je altijd ssl gebruiken, maar dat is niet bepaald efficient. Beste is om het te gebruiken bij logins en verder alle geautoriseerde pagina's.

[Xolphin]

Ik denk niet dat de vraag juist is, ik denk dat je beter kunt vragen of een beveiligde verbinding belangrijk gevonden wordt. Op het moment dat je een beveiligde verbinding belangrijk vind, dan is een SSL certificaat bijna een vereiste, omdat Internet Explorer 7 tegenwoordig zeer moeilijk doet over zelf ondertekende certificaten.

Daarnaast gaat het er ook om wat je klanten belangrijk vinden. Mensen zijn gelukkig steeds meer bewust van beveiligde verbindingen, en er zijn hoop ik nog maar weinig mensen die creditcard gegevens invullen op websites zonder beveiligde verbinding / SSL certificaat.

Voor de kosten hoef je het mijn inziens niet te laten, tegenwoordig kosten SSL certificaten maar een fractie van wat ze vroeger hebben gekost. Voor een paar tientjes per jaar heb je je website zonder foutmeldingen al met een certificaat beveiligd.

Elke fatsoenlijke hoster heeft voor een paar euro per jaar een IP adres voor een certificaat beschikbaar, dat lijkt mij geen reden om geen certificaat te nemen.

Als je meerdere certificaten per jaar nodig hebt, dan zijn er bij elke leverancier wel kortingen bespreekbaar. Uiteraard ook bij ons *hint, hint* .

[BertvArkel]

natuurlijk is het belangrijk dat data goed beveiligd is wij gebruiken voor 2 klanten EV Certificaten (van www.evssl.nl) die werken prima en men weet ook gelijk dat het goed zit met de groenebalk in bijv. IE7.

[INEXPro]

webshops idem dito, 90+% niet beveilgd (van de 6000+)
Vond het toch wel iets om even bij stil te staan,. Het word echter snel vergeten, of onhaalbaar door kennis gebrek, geen eigen IP ter beschikking (shared hosting)

Vooral bij electronica webwinkels (lees IT) vind ik het zonde dat er geen gebruik wordt gemaakt van ssl beveiliging.

Daarnaast denk ik echter dat je niet gaat zoeken naar een aanbieder die toevallig een beveiligde site heeft.

[bvankuik]

Ik ga met de anderen mee; MD5 en certificaten zijn belangrijk maar komen qua prioriteit minder hoog dan scripting security.

Gerucht: google op "klant login" en in de eerste 20 resultaten heb je een lek te pakken (d.w.z. een password als

' or 1=1 or 'a'='

laat je naar binnen als de eerste willekeurige klant.

[chielsen]

Als security zo hoog staat moet je in ieder geval geen md5 gebruiken, gebruik dan ten minste sha1 (of beter). Bij md5 kan al redelijk simpel gekeken worden wat mogelijke sources zijn, ook zoeken in google doet het goed.

[Kenneth]

Als security zo hoog staat moet je in ieder geval geen md5 gebruiken, gebruik dan ten minste sha1 (of beter). Bij md5 kan al redelijk simpel gekeken worden wat mogelijke sources zijn, ook zoeken in google doet het goed.

of gewoon iets als in:

md5("randomcrap" . $pw);

dat kun je niet zomaar terug google .. al hebben klanten zwak password (alleen als je de random crap verliest - is je password database beetje 'corrupt'

[Trafego]

beveiliging heb je in vele maten en soorten en zeker zul je zelf ook de nodige voorzieningen moeten aanbrengen zoals en md5 bijvoorbeeld,

Doch vind ik zelf wel een meerwaarde geven als ik zie dat een omgeving waar mijn gegevens in aanwezig zijn + bijvoorbeeld facturen geschiedenis (denk aan webshops) dat deze beveiligd is.

Er zijn o.a bijvoorbeeld mega veel oscommercen online en xx wegen om erin te komen.. daar zal ik dus niet snel een bestelling plaatsen

[Xolphin]

of gewoon iets als in:

md5("randomcrap" . $pw);

dat kun je niet zomaar terug google .. al hebben klanten zwak password (alleen als je de random crap verliest - is je password database beetje 'corrupt'

MD5 is voor normaal gebruik veilig genoeg denk ik, een heel stuk veiliger dan het ongecodeerd opslaan van wachtwoorden in ieder geval. Iemand die een wachtwoord gebruikt waarvan de hash in Google staat gebruikt simpelweg geen goed wachtwoord.

MD5 is alleen niet absoluut veilig, het beste kun je SHA-1 gebruiken. De Wikipedia pagina van MD5 legt uit waarom dat zo is:

http://en.wikipedia.org/wiki/MD5

Maar het ging over het nut van SSL, niet om MD5. Als we het hier verder over gaan hebben denk ik dat het een nieuw topic op zijn plaats is .

[Serveo]

Graag wil ik reageren over het feit dat je als je een shared hosting accounts hebt geen ssl kan hebben. Ik kwam er al een tijd geleden achter dat je simpelweg eigelijk iedereen op de gehele server een gedeelde ssl sleutel kunt laten gebruiken.

Of zitten hier ook haken en ogen aan?

[Xolphin]

Graag wil ik reageren over het feit dat je als je een shared hosting accounts hebt geen ssl kan hebben. Ik kwam er al een tijd geleden achter dat je simpelweg eigelijk iedereen op de gehele server een gedeelde ssl sleutel kunt laten gebruiken.

Of zitten hier ook haken en ogen aan?

Een multi-domeinnaam certificaat waar je het volgens mij over hebt, kan inderdaad meerdere domeinnamen bevatten. Hat nadeel is dat als je de bedrijfsgegevens in het certificaat wilt hebben (en je klanten zien dit ook, dus dat is wel aan te raden), dat dan de domeinnaamhouder van alle domeinen gelijk moet zijn. Een ander nadeel is dat het certificaat later niet meer aan te passen is, je kunt niet na een maand nog een domeinnaam toevoegen, enkele weer een heel nieuw certificaat aanvragen. Als het verschillende klanten zijn is een los SSL certificaat een stuk makkelijker. IP adressen zou je zonder problemen van je upstream provider moeten kunnen krijgen.