Onderwerp: Gebruik jij SSL?

Oorspronkelijk geplaatst door ichat

dat elke cert je een ip kost is overigens niet meer helemaal waar, je kunt als gebruiker ook gewoon mensen met verouderde software uitsluiten, (deze krijgen dan een 'ongeldig cert' waarschuwing,
maar als je ano 2011 nog geen sni-capable webbowser hebt tja. - dus dat hele argument dat het nog wel even duurt?? - alle moderne browsers kunnen het al, alleen niemand gebruikt het omdat niemand er van lijkt te weten, -

Probleem is dat veel mensen Windows XP nog steeds prettiger vinden werken dan Vista/Win7.
En dat IE en Chrome de SSL functies van het besturingssyteem gebruiken.

Tegen een webshop eigenaar zeggen dat hij die klanten dan maar moet uitsluiten, en dat ze alleen maar een bestelling mogen plaatsen als ze Firefox installeren is niet erg realistisch.


Beter zou het zijn als er door overheden en grote bedrijven wat druk op Microsoft uitgeoefend wordt om de SNI ondersteuning ook voor XP beschikbaar te maken, en deze via Windows Update als belangrijke update te pushen.
Men hamstert wel voor $ 7.5 miljoen aan IP-adresjes, maar zet zich niet in om onnodig IP gebruik terug te dringen.

Ik kan me wel vinden in de opvatting dat de meerwaarde van de simpele certificaten praktisch nul is. Ze bieden kopers geen enkele garantie. Ik vermoed dat het merendeel van de kopers nog eerder een site zonder SSL vertrouwt, dan een site met een self signed certificaat (en dus de verontrustende mededeling).

Als het inderdaad om webwinkels gaat is in mijn ogen enkel een EV ssl certificaat veilig te noemen, want zo moeilijk is het nu ook weer niet om een een site te spoofen/namaken/... en zelf een ssl cert te installeren. Dat een ssl certificaat voor admin logins en webmail gebruikt wordt kan ik enkel toe juichen, ik zelf heb ook voor die dingen ssl certificaten draaien. Sommige ook in SNI mode met shared ip, omdat ik ze toch enkel gebruik dus waarom ip adressen verspillen. Zo denken sommige klanten van mij er trouwens ook over, hun website moet gewoon via http beschikbaar zijn, maar zelf willen ze via https kunnen inloggen in hun cms beheer. En dan nemen ze die waarschuwing er wel bij als ze op een ouder systeem zitten.

Als we het dan toch even over Man in the Middle en packetsniffers hebben, veel mensen maken gebruik van https secure website om hun gegevens in te vullen etc, maar halen hun e-mail met bevestiging van login etc dan wel weer binnen met imap en/of pop3 in plaats van imaps en/of pop3s. Dus dan heeft de secure login op https weinig nut als je login gevens over clear text e-mail gaan. Dit is een punt waar nog teveel mensen niet bij stil staan in mijn ogen, als je het dan secure wilt doen, doe het dan voor het volledige traject en niet enkel https.

On-topic: Ik ben bezig met migratie van mijn godaddy & startcom certificaten naar rappidssl met als volgende redenen, startcom is bij veel bedrijven uit de trusted list gehaald omdat ze dit gratis CA niet vertrouwen. En de godaddy certificaten die ik aan het vervangen ben heeft meer te maken met het feit dat ik alles bij dezelfde leverancier wil onderbrengen.

maxnet Tegen een webshop eigenaar zeggen dat hij die klanten dan maar moet uitsluiten, en dat ze alleen maar een bestelling mogen plaatsen als ze Firefox installeren is niet erg realistisch.

dat heb ik helemaal nooit zo gezegt, - zelf gaf ik al aan dat zo'n sni cert met een waarschuwing gepaart zou kunnen gaan dat het mogelijk niet geschikt is voor alle doelen waar ik ook notabene aangaf dat het voor webshops misschien niet voldoende is. (met in het achterhoofd juist die xp beperking).

je conclusie over het pushen van sni naar xp deel ik overigens voor de volle 100% -

onager Ik kan me wel vinden in de opvatting dat de meerwaarde van de simpele certificaten praktisch nul is. Ze bieden kopers geen enkele garantie. Ik vermoed dat het merendeel van de kopers nog eerder een site zonder SSL vertrouwt, dan een site met een self signed certificaat (en dus de verontrustende mededeling).

ik ben vooral benieuwd naar jouw defenitie van simpel, als je self-signed bedoeld dan snap ik direct wat je bedoeld, maar als je gratis domain verified - (daar valt startcom ook onder) bedoeld, vind ik dat een behoorlijk ongeinfomeerde mening / gedachtengang,

de bedoeling van ssl is altijd al geweest om te zorgen dat data die jij verstuurt enkel op de plaats komt waar jij denkt dat ie komt, de rest is pure markting ... want met genoeg geld kan ik prima iemand omkopen om een MS cert voor mij te signen. er zijn al vaak genoeg geruchten geweest dat er vanuit bepaalde landen allerlijsoortige truukjes zijn uitgehaald om in bezit te komen van cert die nooit uitgegeven hadden mogen worden.

zo'n bedrijf bestaat ook alleen maar bij de gratie van het vertrouwen, - het achterlijke alleen is dat mensen bedrijven vaak om de verkeerde (meest ongeinformeerde redenen) wel of juist niet vertrouwen.

mensen die geloven in een wereld waarin ssl en certs DE oplossing zijn tegen scam en phishing kan ik persoonlijk eigenlijk niet eens meer ECHT serieus nemen. - boetes helpen immers ook niet tegen hardrijders ...


@ The BosS - zelf heb ik er nooit echt een goed gevoel bij als er argumenten op tafel komen als 'omdat hele wereld zo stom is het fout te doen, maakt het een goede implementatie onnodig' ik meen dat gmail al niet eens pop en imap zonder tls ondersteunt, - en hoe dat met hotmail zit weet ik eigenlijk niet, - maar ik zou het een goed idee vinden als het nog voor het weekend verplicht werdt gesteld. (even de technische haalbaarheid daarvan buiten de discussie latende)

Ik maak al sinds zolang als ik kan herinneren gebruik van POP3s/IMAPs.
Ook de SMTP authenticatie verloopt via TLS, net als de FTP server.

SNI heb ik wel van gehoord maar nog niet mee gewerkt omdat IE7 het niet ondersteund, voor de Administratie zou het wel kunnen omdat daar alleen nieuwe browsers worden geaccepteerd. (Zelfs IE8 word niet geaccepteerd.)

Oorspronkelijk geplaatst door Rollerscapes

Ik maak al sinds zolang als ik kan herinneren gebruik van POP3s/IMAPs.
Ook de SMTP authenticatie verloopt via TLS, net als de FTP server.

SNI heb ik wel van gehoord maar nog niet mee gewerkt omdat IE7 het niet ondersteund, voor de Administratie zou het wel kunnen omdat daar alleen nieuwe browsers worden geaccepteerd. (Zelfs IE8 word niet geaccepteerd.)

Dat komt omdat je van Windows XP gebruikt maakt?

Nee ik bedoel voor het klantgedeelte. Zelf werk ik al geruime tijd met Vista.
En wat betreft IE8, het Administratie paneel maakt gebruik van HTML5 wat IE8 niet standaard/volledig ondersteund.

Hoe graag ik ook zou willen kan ik mensen niet dwingen om van XP te upgraden, en aangezien XP in zijn geheel geen SNI ondersteund wordt het helemaal lastig.
Ik lees nu op Wikipedia dat verschillende Mobile browsers het ook niet ondersteunen.

IE6 en 7 ondersteunen we enkel nog op 'best-effort'.

Hoe graag ik ook zou willen kan ik mensen niet dwingen om van XP te upgraden, en aangezien XP in zijn geheel geen SNI ondersteund wordt het helemaal lastig.

firefox onder xp ondersteunt wel sni omdat de webengine an mozilla het zelf anhandeld en dus niet op het os vertrouwd...

wat betreft je mobiele opmerkingen, ik meende dat opera mobile / mini het wel ondersteunen, - en die zijn beschikbaar op de meeste mobiele osen. dat wil niet zeggen dat sni de heilige graal is, want het is natuurlijk niet fijn om hele delen an je klanten bestand aan te geven dat ze maar even van os op browser moeten wisselen. daarom gaf ik ook al aan dat het wellicht meer geschikt is oor de admin van een joomla website (niet zo essentieel) maar bij niet an het ideal-gedeelte bij m'n bank - of de webwinkel van m'n favorite computer toko.

als ik nu in de huid van een webhoster zou kruipen, zou ik het denk ik oplossen door mod_tls te installeren, en elk account / domain de mogelijkheid te geven om sni te gebruiken, - met een soort upgrade optie naar een volwaardig certificaat via een eigen ip met reverse dns ... (ik meen dat mod_tls ook standaard ssl kan draaien - dus dat zou een kwestie zijn van: of dit / of dat ).

het aanbieden kost je in principe namelijk bijna niets extra's ... maar kan zeer goed bijdragen aan een betere veiligheid.

het is voor mij iig een functie die ik als voorwaarde ga stellen als ik eind dit jaar mijn huidige hosting pakket ga verwisselen, voor iets nieuws.

Ah ik snap je volgens mij niet zo moeilijk om dit mogelijk te maken. Zal er zeker is naar gaan kijken.