Outlook Web Access beveiligen met SSL of niet?

[CmdrKeen]

Lastige beslissing: WAN met 35 gebruikers, gebruiken allemaal Outlook via Exchange Server. Outlook Web Access (OWA) is beschikbaar via het intra-/extranet (want ook vanaf internet te bereiken). Er maken per dag ongeveer 10 gebruikers gemiddeld vier uur gebruik van OWA.

Momenteel zit OWA achter HTTPS, de SLL-'oplossing' dus, maar er is geen certificaat beschikbaar, het is een nep-certificaat dus, en de gebruikers krijgen altijd de melding dat het certificaat niet gecontroleerd kan worden. Dit is ten eerste een kleine last voor de gebruikers en ten tweede vind ik het zelf nogal slordig, en vind ik dat het gewoon opgelost moet worden.

Nu heb ik eens geïnformeerd wat dat zoal kost, en de kosten zijn redelijk te behappen.

Nu hoorde ik van een van onze leveranciers dat SSL nogal een aanslag pleegt op je CPU, en dat als er vijf of zes sessies actief zijn op je server, je CPU al op 100% gaat. De servers zijn Compaq Proliants met 700 tot 1GHz PIII's. Het zijn floting-point-berekeningen, dus meer on-die cache (Xeon) of meer RAM heeft niet veel effect. Een oplossing zou kunnen zijn: snellere en voornamelijk méér processoren per server.

Het alternatief is om OWA gewoon via HTTP te laten lopen, maar daar heb ik eigenlijk niet zo'n trek in, omdat ik de boel toch wel wil beveiligen.

Mijn vraag: wat is beste de keuze in mijn geval? Certificaten aanvragen (ik wil dan certificaten voor twee of drie servers) en de server-hardware upgraden of OWA en het intranet met de native NTFS-beveiliging beveiligen en hopen dat OWA veilig genoeg is?

[_Arthur]

Bekijk eerst eens wat de belasting is met de huidige net verifieerde certificaten. Want als het goed is moet je nu dus prima kunnen zien wat voor belasting het is op je processoren aangezien je nu al 'on echte' certificaten gebruikt.

En ik zou gaan voor de nette oplossing via https want ik denk dat de belasting voor je cpu's niet meer zal zijn dan nu het geval is.

[CmdrKeen]

Dus ook mijn 'neppe' certificaat encrypt het dataverkeer en levert dus evenveel belasting op mijn CPU?

[_Arthur]

Ja natuurlijk. Het verschil tussen een verisign certificaat en eentje door jezelf gemaakt is alleen de trusting er van. De belasting van je cpu's is identiek. 128bits versleuteling is 128bits versleuteling, ongeacht of het certificaat getrust is of niet.

[Verwijderd]

Misschien slim om een dedicated server erbij te plaatsen speciaal voor de OWA gebruikers.

OWA + SSL zijn processor resources slurpende threadjes

of een dual pentium plaatsen en taken verdelen over de 2 procs

Suc6

[CmdrKeen]

Op dinsdag 26 februari 2002 15:30 schreef Frankdatank het volgende:
Misschien slim om een dedicated server erbij te plaatsen speciaal voor de OWA gebruikers.

Misschien een beetje overkill voor die paar gebruikers, maar OWA draait nu op de mailserver en das geen dedicated mailserver... Ik wil het dus tóch uit elkaar trekken, omdat er steeds meer gebruikers bijkomen.

[Koffie]

Voor die paar gebruikers kun je ook gewoon een documentje maken hoe ze at certificate eenmalig moeten accepteren.
Be jer ook van af.
Of een soort export opeen ste zetten, welke ze imnporteren in IE (dan issie ook trusted).

Of een scrippie schriven weke hem zelf in IE als trusted zet.
Als het alleen mar voor interne medewerkers is, die externe bij un mail moeten kunnen zou ik het op die manier doen ..

[Martijn02]

Op dinsdag 26 februari 2002 17:10 schreef Koffie het volgende:
Voor die paar gebruikers kun je ook gewoon een documentje maken hoe ze at certificate eenmalig moeten accepteren.
Be jer ook van af.
Of een soort export opeen ste zetten, welke ze imnporteren in IE (dan issie ook trusted).

Of een scrippie schriven weke hem zelf in IE als trusted zet.
Als het alleen mar voor interne medewerkers is, die externe bij un mail moeten kunnen zou ik het op die manier doen ..

Hoe doe je dat dan? Dit is mischien een klein beetje offtopic, maar ik draai phpmyadmin ook achter ssl op een server zonder certificaat en wordt een beetje gek van die melding. Ik heb de server al bij de trusted sites gezet, maar dat maakt bij mij niks uit.

Dussuh... Zou je dat alsjeblieft uit willen leggen?

[Flyduck]

Dat stukje over processorbelasting vind ik wel zeer interessant. Zelf heb ik laatst webserver opgezet (P3 1ghz) die ongeveer 20-30 gelijktijdige SSL verbindingen behandeld met een zeer uitgebreide site. Deze draait met een 40-bits SSL.
Dus met andere woorden als je voor 40 bits gaat kan je server het met gemak aan terwijl het voor e-mail doeleinden veilig genoeg is.

[Jochem]

In het kader van: "Speel uw eigen Certification Authority", kan ik HLPDSK alleen maar onderschrijven. Dat certificaat laten signed door een Certification Authority (CA) (of zoiets in de buurt) kost alleen een hoop geld. De 10 gebruikers weten toch wel dat het jouw certificaat is. En inderdaad kun je -als je niet te snel klikt- het certificaat netjes importeren in je browser.

Wil je kunnen controleren of je certificaat niet ten koste is gevallen door een of ander dwangmatig gehack, geef de users dan de certificaat finger-print iets van "EC58 7D20 6298 D788 B8A1 8B93 901A 5D10 BCD8 42DD" op een briefje. En dan mogen ze dat zelf controleren. Zo dan ben je zelf een beetje CA.

[CmdrKeen]

Ik ben hier niet echt in thuis. Het certificaat dat we zelf uitgegeven hebben, is inmiddels verlopen. Hoe kan ik zelf een nieuw certificaat aan m'n server toekennen?

[Koffie]

Je Certifiacte draait dus gewoon op de eigen servers?

[CmdrKeen]

Is dat een strikvraag? Ik weet eigenlijk niet hoe het in elkaar zit. Ben me de laatste tijd een beetje aant inlezen over Certificates, maar tis me nog niet helemaal duidelijk hoe het nou qua instellingen op je server zit enzo..

[Koffie]

Volgens mij moet je dus Certificate Server draaien wil je met IIS je eigen certificaten kunnen hebben.

Als je dan in de IIS Manager gaat en dan die SSL site pakt.
Rechtermuisklik, properties. Directory Security onderin bij certificates een nieuwe aan maken.

Doordat je een eigen certificate server draait kun je nu kiezen voor de 'online' methode.
Hj maakt dan een certificate request aan, en geeft deze aan je eigen srver door.
Die keurt hem goed, engeefthet terug .. et voila klaar.

althans, zo heb ik het v/d week gedaan op een W2K server met IIS5
probeer anders eens http://www.iisfaq.com/SSL