Onderwerp: Gebruik jij SSL?

Wat ik mij eigenlijk af vroeg is wie allemaal SSL heeft voor het aanbieden van zijn producten/diensten? Aanleiding is eigenlijk dit artikel http://www.webhostingtalk.nl/webhost...r-ssl-lek.html. Het kwam mij inene even opborrelen omdat ik bezig met een website met SSL. Verder vroeg ik mij af wie eigenlijk EV-SSL heeft (met een groen balkje).

SSL is tegenwoordig ook goedkoop te verkrijgen wat ideaal is voor een startend ondernemer. Later kan natuurlijk geüpgraded worden naar een wat duurdere certificaat met bijvoorbeeld EV-SSL. Eigenlijk denk ik dat als een bedrijf geen SSL heeft die bijvb online betalingen uitvoert meer uit luiheid geen SSL heeft, ondanks het vrij weinig werk is.

Wat ik me ook af vroeg, welke SSL certificaat gebruikt wordt (uitgever, type). Ik gebruik zelf AlphaSSL, goed genoeg om mee te beginnen, wat veiligheid tussen de client en server te hebben en om klanten gerust te stellen.

Oorspronkelijk geplaatst door Yourwebhoster

Eigenlijk denk ik dat als een bedrijf geen SSL heeft die bijvb online betalingen uitvoert meer uit luiheid geen SSL heeft, ondanks het vrij weinig werk is.

Zoals in discussie waaraan je refereerde al duidelijk is, bied SSL geen veiligheid, maar enige mate van garantie voor integriteit/confidentialiteit tussen twee eindpunten.

In dat optiek is een reguliere certificaat tov selfsigned certificaat veels te duur.
Bovendien kost het je nog steeds (helaas) een IP adres.

Om e.a. reden hebben vrijwel alle browsers tegenwoordig rigide waarschuwing tegen selfsigned certificaten waardoor je om die reden gedwongen word om een (niets zeggende) certificaat te kopen.
Verder maken browser ontwikkelaars, als ook Apache/server management ontwikkelaars geen haast met TLS Server Name Indication, waardoor je geen extra IP adres nodig hebt. (kip en ei situatie)

Overigens maak ik een bewust verschil tussen domein (of wat voor naam ze het ook geven) certificaat en een EV certificaat.

Bij een EV certificaat vind daadwerkelijke verificatie van het bedrijf achter bewust (sub) domein plaats, zodat je hiermee wel toegevoegde waar hebt.

Aan de andere kant het niveau van deze verificatie is ook niet heel erg hoog, dat rechtvaardigd niet de prijs.
Immers in de westerse wereld kost het je hooguit een paar tientjes (uittreksel) en een man uur om vestigings adres + naam bestuurders te verifiëren, wat een meer prijs van honderden euro's voor een EV certificaat niet rechtvaardigt. (terwijl ze dat dus niet doen, kwaadwillende kan met wat valse documenten en een leuk domeinnaam bedrijven faken.)

Dus alleen om van die irritante foutmelding af te komen, kun je er voor kiezen om een SSL certificaat toe te passen. Of je moet geloven (of je klant er van overtuigen) dat transactie daadwerkelijk tot een bepaalde waarde gegarandeerd is. (als je voorwaarden leest, zal die situatie nooit kunnen plaatsvinden.)

Ik geloof zelf ook niet dat zo'n transactie vergoed wordt als het fout gaat, het gaat er mij om de de verbinding tussen de client en server versleuteld is (dat bedoel ik met veiliger) en dat de klant zich veiliger voelt.
Maar zoals je zegt, voor zo'n ev certificaat moet ellendig veel betaald worden als je het in verhouding gaat bekijken. Ik zou alleen begrijpen dat browsers self-signed certificaten niet accepteren omdat er geen daadwerkelijke verificatie met de eigenaar is. Maar helaas is dit ook voor certificaten die geen verificatie uitvoeren, wat ik dan weer overbodig vind. Maar goed, ik maal niet om een paar tientjes maar bij een EV is dat al snel weer even een ander bedrag.

Verder is het inderdaad apart dat SSL nog steeds een eigen IP vereist, met IPv6 zou ik dat niet zo'n probleem gevonden hebben maar met IPv4 denk ik dat we het toch een stuk langer kunnen uithouden als het op hetzelfde IP kon. Nu weet ik niet de precieze techniek hierachter zoals of het wel anders kan, maar het blijft een minpuntje.

Shared IP met SSL kan wel alleen duurt het nog wel eventjes voordat het ook in de praktijk bruikbaar is: http://wiki.apache.org/httpd/NameBasedSSLVHostsWithSNI

Voor een paar sites gebruiken we SSL maar puur om die irritante selfsigned dingen niet te zien.

Voor alle sites die we hebben zou een ramp zijn, dan zouden we een aantal ranges IP adressen moeten asssignen aan de servers.

We maken gebruik van het goedkope Comodo en een aantal Geotrust

Oorspronkelijk geplaatst door Phu

Voor alle sites die we hebben zou een ramp zijn, dan zouden we een aantal ranges IP adressen moeten asssignen aan de servers.

Heb je 500 websites die op SSL moeten draaien dan?


Wij zelf hebben webshops en eigen zakelijke websites waar klanten persoonlijke informatie/bestellingen verwerken onder SSL draaien.

Informatieve websites is imho ook geen SSL voor nodig.

Ik vind dat voor alle websites waar je gegevens achterlaat die niet voor een ander bestemd zijn, je een vorm van versleutelde verbinding moet gebruiken. Dus ook bij inloggen op het controlpanel van een server of een website. Identiteitscontrole is meer iets voor als je belangrijke gegevens achter moet laten, zoals betaalinformatie.

Daarom is het zo jammer dat versleuteling en identiteitscontrole samen zijn gevat in een SSL certificaat, waar je om die reden altijd een extra IP voor nodig hebt en voor moet betalen.

Oorspronkelijk geplaatst door gjtje

Shared IP met SSL kan wel alleen duurt het nog wel eventjes voordat het ook in de praktijk bruikbaar is: http://wiki.apache.org/httpd/NameBasedSSLVHostsWithSNI

Tsja, als je het mij vraagt zijn ze nu te laat hiermee. Tenminste, als je gaat kijken naar hoeveel IP's overblijven, want wie gaat nou terugschakelen naar een gedeeld IP met een eigen certificaat? Niemand, teveel werk en wat heb je er aan? IPv4 adressen zijn nu al schaars, leve IPv6....

Op dit moment nog geen SSL op websites, wel een certificaat op de ESX-machine. Er is geen informatie die ik beveiligd over het net heen zend verder, behalve webmail (wat is beveiligd door een localhost ssl certificaat)

Hier gebruik ik SSL certs voor control panels, klanten paneel, webmail, exchange, nog wat andere kleine websites en noc dingen. Sommige zitten zelf op shared ip door gebruik te maken van Cherokee webservers.

Meerdere certificaten op 1 IP is geen probleem. Enkel Apache ondersteund dit niet. Bij E-commerce hosting (Magento) lever ik standaard een IP en SSL, dus geen optie. Hetzelfde geldt voor de zakelijke hosting. Liever nu IP's hamsterem dan straks niets krijgen. Kan ze altijd nog omzetten naar IIS met een Proxy op 1 ip-adres straks.

DirectAdmin gaat via mod_proxy en wordt ingeladen op poort 80 via de mainsite die gewoon SSL heeft. Hiermee los je meteen eventuele firewallproblemen op. Verder niet geheel onbelangrijk is een certificaat op de e-mail, zodat POP3S en IMAPS ondersteund worden en SMTP ook niet lekker met plaintekst gaat authenticeren.

Wij gebruiken ssl voor controlepanelen, hosted exchange en voor klanten gewoon geotrust certificaten.

Allemaal op een eigen dedicated IP. Geen shared IP's

Wat ik me ook af vroeg, welke SSL certificaat gebruikt wordt (uitgever, type).

Standaard Geotrust RapidSSL certificaatjes voor websites.
Voor code signing eentje van Startcom.

De meerwaarde van duurdere certificaten zie ik niet echt in.
Bezoekers kijken alleen of er "slotje" is, niet door welke instantie het certificaat is uitgegeven.
Met EV komt daar misschien verandering in, maar dat is nog niet echt ingeburgerd.

Oorspronkelijk geplaatst door Randy

Meerdere certificaten op 1 IP is geen probleem. Enkel Apache ondersteund dit niet.

Kwestie van mod_gnutls installeren.

Het is eerder Microsoft die dwars ligt.
IE7 ondersteund onder Vista wel SNI, maar onder oudere versies van Windows niet. ->

Oorspronkelijk geplaatst door maxnet

Het is eerder Microsoft die dwars ligt.

Indien MS standaard iets niet heeft is het een MS probleem, maar als Apache iets standaard niet heeft, is het weer normaal? Zo wordt er wel vaak gedacht tegenwoordig.

Hier allemaal Comodo certificaten, meeste MobileSSLs, een digitale handtekening, en een Codesigning.