Beveiligen Dataverkeer Webapplicatie

[Verwijderd]

Hallo,

Voor mijn stage moet ik over een paar weken beginnen met het schrijven van een web applicatie. Daarvoor moet ik eerst een plan indienen met o.a. hoe deze het best te beveiligen is. Nu ben ik daar mee bezig, voor- en nadelen van een web applicatie op te zoeken maar ik blijf steken op het beveiligen van dataverkeer.

Het gaat om best belangrijke persoonlijke data en die moet goed beveiligd zijn. Dan denk ik automatisch aan encryptie, bij het zoeken naar encryptie kom ik echter niet veel verder dan (Open)SSL en een aantal Java toolkits maar die zijn al niet interessant want het geheel wordt waarschijnlijk in ASP.NET gemaakt.

Ik vraag me dus af, zijn er naast SSL nog andere manieren om dataverkeer te versleutelen? Volgens mij zoek ik op de verkeerde termen ofzo want ik kan me niet voorstellen dat dit het enige product is.

[Evilbee]

Je kan in plaats van http:// toch ook https:// gebruiken?

[ACM]

SSL http verbindingen zijn de defacto standaard, TLS is een iets modernere variant meen ik. Maar het is allemaal op de SSL/https basis voortgeborduurd. Overigens lijkt SSL me voor de meeste gebruiken prima voldoen ?

[Verwijderd]

Bedankt zover

Wat me nog niet helemaal duidelijk is, is SSL. Op SSL.com kun je certificaten kopen maar als ik dan het Internet over browse dan lijkt het ook standaard in IIS te zitten en in Apache met mod_SSL. Moet je het nu wel of niet kopen?

[Woy]

Ik weet niet precies hoe het zit maar volgens mij is de implementatie wel gratis en zit inderdaad in onder andere IIS. Om het secure te doen heb je echter certificates nodig die door een TTP ( Trusted Third Party ) beheerd worden. Met deze certificates kun je dan weer een secure verbinding opzetten.

[ACM]

Je hebt een ssl-certificaat nodig om mod_ssl/ssl-in-IIS te kunnen gebruiken, a.d.h.v. daarvan wordt het namelijk encrypted (het is een bestandje dat je public key bevat en vervolgens ook nog zegt dat het echt jouw public key is ).

Je kan ssl certificaten zelf maken. Ze zijn dan echter niet officieel gecertificeerd en dus kan je je klant niet garanderen dat jij te vertrouwen bent, via je SSL-certificaat.
Echter zijn zelf gegenereerde certificaten alsnog een prima methode om je data te encrypten, dus als jij je gebruiker op een andere manier kan overtuigen dat jij te vertrouwen bent hoef je niet perse een echt gesigneerd certificaat te hebben. Het is alleen wat vervelend dat ze dan expliciet het certificaat moeten goedkeuren en/of installeren