Les certificats sont utiles pour l'intranet SSL?
J'ai été chargé du développement d'un intranet de l'interface de ligne de commande du logiciel, et maintenant je suis à la recherche d'options de sécurité. Notre application en ligne de commande est terminé, mais je n'ai pas commencé à écrire l'interface web. Je ne sais pas exactement ce que les exigences de sécurité pour les clients potentiels, même si je crois ssh
est généralement acceptable pour l'interface de ligne de commande. Avec cela à l'esprit, je suis en demandant de l'aide pour l'élaboration d'un menu de choix avec leurs avantages/inconvénients. Un jour, on peut envisager la libération de notre interface web pour l'internet, donc je suis prêt à envisager plus en sécurité qu'à l'heure actuelle nécessaire si c'est facile et/ou gratuit.
J'ai fait beaucoup de lecture, et ma conclusion provisoire est que le système de sécurité SSL avec aucun certificat n'est la meilleure approche, non pas parce que moins de sécurité est inacceptable, mais parce que le protocole SSL est la norme, et parce qu'il ne semble pas être difficile à mettre en place. J', une sécurité non-expert, n'aurait pas besoin d'expliquer pourquoi moins de sécurité est acceptable pour la sécurité des non-experts. J'ai pu mettre à jour mon application pour utiliser un certificat à l'avenir si nécessaire.
Voici une liste de SSL de sécurité liés à des choix, triés par ma perception du niveau de sécurité avec mes commentaires. Quel est le niveau de protection dont j'ai besoin?
-
Pas de SSL. Cela peut être acceptable si nos clients ne sont pas inquiets au sujet de leurs employés de voir/modifier des uns et des autres données. Leurs employés souhaitez partager des résultats les uns avec les autres de toute façon, et j'ai pu utiliser la propriété intellectuelle de contrôle d'accès et/ou le mot de passe pour plus de sécurité.
-
Faire SSL sans certificat. Ce chiffre la communication, qui protège la lecture des données par les employés non autorisés. À l'aide d'un mot de passe, c'est le même niveau de sécurité que
ssh
sur la ligne de commande, non? Je n'ai pas besoin de vous soucier de man-in-the-middle attaques dans un intranet, à droite? Un inconvénient de cette approche serait si il y avait beaucoup de navigateur messages d'avertissement. -
Faire SSL avec un certificat auto-signé. Qu'est-ce qu'elle me donne pas de certificat donne moi? Si le DNS peut être changé de façon inappropriée, le client alors ma demande est le cadet de leurs soucis. Formulé d'une autre manière, si le DNS peut changer, alors je pense que
ssh
seraient trop vulnérables. -
Faire SSL auprès d'une Autorité de certification locale. OpenSSL me permet de faire mon propre Autorité de certification. Qu'est-ce qu'elle me donne un certificat auto-signé n'est pas? Je pars du principe que sur un réseau local, c'est moins important pour que le serveur puisse être vérifiée.
-
Faire SSL avec un Certificat d'Autorité. Est-il toujours une raison d'aller dans cette voie pour un intranet? J'ai trouvé quelques "intranet certificats pour la vente en ligne, mais il n'est pas clair ce qu'ils t'offre, je ne peux pas faire moi-même.
Pour référence, cette page peut être utile pour comparer les certificats:
http://httpd.apache.org/docs/trunk/ssl/ssl_faq.html#aboutcerts
[mise à jour]
Voici un article portant sur les risques et les règles d'obtention d'un certificat interne à partir d'une autorité de certification publique.
- Je pourrais peut-être ajouter le mot "comment" au début du titre.
- Ridicule de fermeture. La question n'est pas "trop grands". Il a un mot de réponse oui/non. Le vote pour la rouvrir.
- "Trop large" semble mal, mais ce n'est probablement pas la programmation, peut-être ServerFault territoire? De toute façon:
- 2: n'est habituellement pas possible; il y a quelques SSL suites de chiffrement qui n'utilisent pas de serveur certs, mais ils sont largement appliqués dans la nature. 3: comme avec ssh l'hypothèse est que si vous voulez le faire en toute sécurité, vous devez pré-distribuer les bonnes certs/clés pour chaque serveur. 4: plus facile à gérer que 3 mais là encore, l'hypothèse serait vous le feriez dans le déploiement de votre autorité de certification interne pour toutes vos machines via bon canal de distribution. 5: vous utilisez une autorité de certification externe si elles peuvent fournir ce service à un coût moins cher que votre entreprise employant quelqu'un de suffisamment compétent pour le faire en interne.
Vous devez vous connecter pour publier un commentaire.
Oui, les certificats sont encore utiles pour l'Intranet SSL.
Il y a une différence importante entre SSH et SSL-sans-un-certificat: lorsque vous vous connectez à un serveur avec SSH, SSH magasins du serveur d'empreintes digitales. Si vous essayez ensuite de vous connecter à ce que le client SSH croit être la même machine mais récupère un des empreintes différentes, il vous avertit qu'il y a peut être quelqu'un d'intercepter vos communications.
SSL-sans-un-certificat, d'autre part, ne pas stocker le serveur de l'empreinte digitale. Votre communication sera encore chiffré, mais si quelqu'un détourne en quelque sorte le serveur DNS comme vous l'avez mentionné, ou, comme Rushyo notes, ne ARP poisoning ou quelque chose de semblable, ils seraient en mesure d'effectuer un man-in-the-middle attack. SSH, comme précédemment mentionné, (en supposant que vous aviez connecté au bon serveur de temps dans le passé) que l'empreinte digitale a changé, et de vous alerter.
Un certificat auto-signé seraient comparables en matière de sécurité de SSH. Un homme dans le milieu pourrait générer leur propre certificat auto-signé, mais tant que vos applications sont configurées pour n'accepter que les que certificat auto-signé, vous devriez recevoir une alerte similaire à celle que SSH va vous donner.
Une autorité de certification locale vous donne de sécurité équivalent à celui des certificats auto-signés, mais peut-être plus évolutive. Si vous avez plusieurs serveurs, chacun peut avoir son propre certificat, mais un client a seulement besoin de haut niveau de confiance en eux. Si un serveur est compromis, vous pouvez révoquer son certificat, plutôt que d'avoir à changer à chaque certificat du serveur.
Je ne crois pas une autorité de certification externe a tous les avantages, autres que peut-être moins, de la configuration si votre machines ont déjà l'autorité de certification de confiance.
Enfin, je ne sais pas assez sur l'authentification à deux facteurs pour l'évaluer, mais pour la plupart des applications, SSL devrait être suffisant.
Disclaimer: je ne suis pas un expert en sécurité.
L'avantage est que vous n'avez pas besoin d'apprendre comment configurer votre propre Autorité de certification si vous avez besoin de gérer un nombre décent de certificats et/ou des machines. Ce certificat serait déjà approuvés par tous les navigateurs, sans que vous ayez à installer vos propres certificats dans le magasin de confiance.
Cependant, c'est moins sûr, car quelqu'un pourrait-il acheter un certificat pour un autre de l'intranet et de l'utiliser sur votre réseau. Pour cette raison, SSL, les fournisseurs de ne plus offrir ce service. Pour plus d'informations, voir: https://www.godaddy.com/help/phasing-out-intranet-names-and-ip-addresses-in-ssls-6935
Si vous avez seulement une très petite intranet, alors je vous recommande d'utiliser un certificat auto-signé, et puis il suffit d'ajouter chaque certificat auto-signé sur chaque ordinateur de la banque approuvée.
Cependant, il devient rapidement impossible d'installer un nouveau certificat sur chaque ordinateur de votre réseau intranet chaque fois que vous voulez ajouter un nouvel ordinateur. À ce stade, vous souhaitez configurer votre propre Autorité de certification, de sorte que vous ne devez installer un certificat d'autorité de certification dans chacun de confiance de l'ordinateur store.