ssl beveiliging

[fromalk]

beste,

k ben momenteel bezig aan een marketing website, waarop uiteindelijk per dag toch heel wat €'s verhandelt worden alsook rekeningnummers, nu stlet er zich een probleem qua beveiliging, momenteel gebeurt het inloggen enz allemaal via md5 encryptie, meer als genoeg voor een gewone website maar nu voor de toekomst hou k graag het oog op verdere expansie.

daarom ben k opzoek gegaan naar ssl encryptie, nu omdat k mn server bij pcextreme zal hangen neem k ook best daar mn certificaten enz is mijn mening, vraag is dus;

wanneer ik opteer voor een bepaald ssl certificaat, bv http://www.geotrust.com/products/ssl...sl_premium.asp
hoe gaat dat dan precies in zn werk, moet er code gewijs iets verandert worden of is dit gewoon een extensie voor de server?

Verder zal de setup bestaan uit 2 webservers en 1 database servers, die licenties zijn single server?

Alvast bedankt

[gjtje]

Als je veel traffic doet is het raadzaam de loadbalancer te voorzien van een of andere SSL module zodat de webservers hier niet mee belast worden. Deze modules kunnen dit veel sneller met hardware ondersteuning dan de standaard webserver.
Je hebt dan aan één certificaat genoeg voor het hele cluster.

[fromalk]

ok dat is zeker al goed om te weten,


k zit er al een paar uurtjes over te googlen, en het is dus een soort extensie die op de server geinstalleerd moet worden, wanneer we de eerste 2 maand nog met 1 webserver zitten, dan zal daarop ook de ssl beveiliging gedraait worden, maar zodra de andere servers er zijn komt dit allemaal op de loadbalancer, is het dan moeilijk om die ssl terug uit die ene webserver te krijgen?

[Jovana]

Is er een controle paneel aanwezig op de server
Veel controle panelen maken het eenvoudig mogelijk om SSL certificaten te installeren.

[fromalk]

de server wordt op dit moment nog geassembleerd, deze maand en een deel van volgende maand dient lauter en alleen voor test doelen, probleem is dat we nog niet ween welk controlepaneel we gaan gebruiken,

we twijfelen voornamelijk tussen interworx en directadmin (single server dan) voor het toekomst cluster weten we het nog helemaal niet

[gjtje]

Ik zou mij eerder afvragen of je überhaupt een controlpanel nodig hebt voor 1 website.

Ook zonder control panel is het installeren van een SSL certificaat geen onoverkomenlijk probleem.

[Aessence]

momenteel gebeurt het inloggen enz allemaal via md5 encryptie
-[knip]-
daarom ben k opzoek gegaan naar ssl encryptie

De MD5 versleuteling waar je het hier boven over hebt, is waarschijnlijk je wachtwoord versleuteling in de database. Het versturen van het wachtwoord gaat (waarschijnlijk) un-encrypted. Met een SSL verbinding los je dat op doordat het communicatiekanaal word versleuteld.

Je database met encrypted wachtwoorden is echter nog steeds (makkelijk) te kraken, mocht iemand daar (fysiek) de hand op kunnen leggen.

mijn mening, vraag is dus;
wanneer ik opteer voor een bepaald ssl certificaat

Technisch zijn certificaten vergelijkbaar en is de mate van versleuteling dus gelijk. Het verschil zit 'm voornamelijk in twee zaken:

1. Standaard (h)erkenning door browsers als "vertrouwd" certificaat
2. Geboden garanties door de verstrekker (Certificate Authority)

Het eerste zit wel goed als je zaken doet met "Top Level" CA's. Erg goedkope certificaten maken some gebruik van 3rd Level CA's, wat ook bij de installatie op de server wat lastiger is. Deze certs kunnen ook niet op alle apparatuur/software gebruikt worden.

Het tweede heeft te maken, hoe goed gecontroleerd wordt dat jij bent wie je zegt dat je bent (het hele idee van certs eigenlijk).

De "duurdere" certs kunnen niet "onmiddellijk" worden uitgegeven omdat er eerst gecontroleerd moet worden. Dat kan schriftelijk, telefonisch of in persoon gebeuren. Hoe beter de controle, hoe meer de CA zich "garant" stelt voor eindgebruikers.

Deze graad van "vertouwen" is echter voor eindgebruikers niet of nauwelijks inzichtelijk, en dus vrijwel overbodig.

Samenvattend stel ik dat een "123" cert van een top level CA zoals Verisign/Thawte waarschijnlijk goed genoeg is. Dat kost je rond de € 70 per server per jaar.

Ter vergelijking; een Website cert met uitgebreidere controle kost ongeveer 2x zo veel, en een "SuperCert" (o.m. voor beter beveiligen van oude browsers) is een factor 5 duurder.

hoe gaat dat dan precies in zn werk, moet er code gewijs iets verandert worden of is dit gewoon een extensie voor de server?

Je installeert het certificaat per website, waarvoor een uniek IP adres nodig is, in de webserver software (Apache/IIS/etc.) eventueel via een Control Panel als DirectAdmin, Plesk, CPanel, etc. Zoals gemeld, kan je ook een "load balancer" of "reverse proxy" (ook wel SSL terminator genoemd) gebruiken en het certificaat daarop (laten) installeren.

Zorg in ieder geval voor een goede (hardware) firewall, zeker als je van een loadbalancer of reverse proxy gebruik gaat maken omdat het verkeer vanaf deze niet meer versleuteld is (in iedergval is dat niet gebruikelijk, al kan het wel).

George/