SSL noodzakelijk bij een reselleraccount

[pj0tter]

Dag

Ik vraag me af in hoeverre SSL wenselijk is voor het controlpanel van een
reselleraccount. Het lijkt me vrij essentieel dat dit veilig zou moeten zijn omdat alle websites van klanten hierin worden beheerd; als mijn wachtwoord wordt gesnift kan diegene overal bij.

Ik ben op zoek naar een reselleraccount die dit kan, of is het overdreven dit te willen?
Een VPS zou dit sowieso moeten kunnen bij de meeste providers, maar heb weinig technische kennis om een server bij te houden.

Hebben jullie advies/meningen?

Ik hoop het
thnx!

Pjotter

[t.bloo]

Iedere hoster zal toch zeker wel het control panel op HTTPS draaien, al dan niet met een "echt" certificaat? Het is van groot belang om je logins te beschermen.

[pj0tter]

T.Bloo, dank voor je antwoord.
Bij mijn huidige provider (Flexwebhosting) is dat niet het geval, en ook bij Versio waar ik in eerste instantie heen wilde bieden ze geen https op directadmin.
Laatst heb ik bij Leaseweb een pakket afgenomen om te vergelijken, waar ze wel https hebben op Plesk (zonder certificaat overigens). Ik ben daardoor gaan twijfelen.
Leaseweb heeft echter geen gunstige reseller pakketten.
Heeft iemand tips?

[dreamhost_nl]

Wij bieden ook gewoon SSL aan op onze (cPanel) servers; reguliere requests (http) worden zelfs automatisch doorgeleid naar de beveiligde omgeving (https). M.i. is dat toch wel het minste wat een provider moet kunnen aanbieden, maar mogelijk heeft dit mede te maken met het door de hoster gebruikte controle paneel.
Wat voor tip zoek je precies?

[pj0tter]

Ik zoek eigenlijk tips voor providers, van gebruikers die gebruik maken van een resellerpakket met SSL.

[The-BosS]

Zoals dreamhost_nl heb ik een gelijkaardige setup waarbij klanten doorverwezen worden van de http naar de https. Zo draaid mijn shared webmail voor klanten ook onder ssl alsook het klanten beheer paneel. Kortom mijn mening is dat alles waarvoor een login nodig is het onder https moet draaien (al dan niet onder een self-signed certificaat).

[The-BosS]

Ik zoek eigenlijk tips voor providers, van gebruikers die gebruik maken van een resellerpakket met SSL.

Aangezien hier vooral hosters zitten zul je dus niet zoveel gebruikers tegen komen. Misschien kan je een aanbieding gevraagd topic openen en dan zie je vanzelf wel welke providers aan je wensen voldoen.

[Cybafish]

Houd er even rekening mee dat het, los van wat je aangeboden mocht worden, kinderlijk eenvoudig is om met een packetsniffer wachtwoorden te achterhalen die in plain text van de gebruiker naar de server worden verzonden. Het gebruik van SSL met de populaire controlpanels is dus absoluut noodzakelijk.

De reseller logt namelijk ook met plain text in op de server. Als iemand eenmaal dat wachtwoord in handen heeft, kan hij naar hartelust met alle onderliggende accounts aan de slag.

[joriz]

Direct Admin heeft standaard geen SSL, maar door slechts 1 regeltje aan de configuratie file van direct admin toe te voegen kan wel alles via een beveiligde verbinding.
Alle panelen die door klanten worden bezocht werken ook bij ons via SSL (http requests worden ook doorgestuurd naar https), zeker nu het goedkoopste SSL certificaat nog maar ongeveer 10 euro kost is er eigenlijk niet meer een kosten argument waarom inloggen niet altijd beveiligd kan.

Bij DirectAdmin zet je zo SSL aan:
SSL certificaat generen: http://help.directadmin.com/item.php?id=15
SSL=0 naar SSL=1 veranderen in: /usr/local/directadmin/conf/directadmin.conf
DirectAdmin herstarten: service directadmin restart
That's it!

[vDong]

Ik vraag me af in hoeverre SSL wenselijk is voor het controlpanel van een
reselleraccount. Het lijkt me vrij essentieel dat dit veilig zou moeten zijn omdat alle websites van klanten hierin worden beheerd; als mijn wachtwoord wordt gesnift kan diegene overal bij.

Ik heb geen idee hoe wenselijk het is, maar (aangezien dit waarschijnlijk alleen over DA gaat) ik zou niet weten waarom je het niet standaard zou aanzetten.

Kan me wel voorstellen dat van selfsigned wisselen naar een signed cert weinig toegevoegde waarde heeft, zeker in een markt met weinig marges.

[Cybafish]

@vDong

Heb jij al gezien hoe hedendaagse browsers reageren op self-signed certificaten?

[pj0tter]

Bedankt voor jullie reacties (en bevestigingen) allemaal!

Heb al met een aantal providers contact gehad en die zeggen de SSL niet aan te kunnen zetten; alleen per website/domeinwaarbij dan een eigen ip nodig, of hoeft een eigen ip niet als je het zelf signeert?
Ik ben de enige die het certificaat te zien krijgt dus dat is verder geen probleem.

[pj0tter]

Aangezien hier vooral hosters zitten zul je dus niet zoveel gebruikers tegen komen. Misschien kan je een aanbieding gevraagd topic openen en dan zie je vanzelf wel welke providers aan je wensen voldoen.

dank dat zal ik doen

[dreamhost_nl]

Klopt, wij hebben al onze servers recentelijk ook voorzien van een commerciëel SSL certificaat en alle door de servers zelfgegenereerde certifcaten daarmee vervangen. De hoeveelheid problemen (lees: meldingen) die met name FireFox gaf met zelfgegenereerde certificaten bij minder ervaren gebruikers kostte onze support soms flink wat tijd.

[marsipulami]

Het is natuurlijk ook krom in het algemeen om als support of techneut tegen de gebruikers te zeggen dat die melding bij een unsignedcertificate normaal is en dat ze mogen doorklikken. Want als ze dan gaan internetbankieren en die melding zou eens een keer voorbij komen dan klikken ze ook massaal op doorgaan terwijl het dan absoluut niet de bedoeling is.