Verification du mode ssl chez le client

J'avoue que chez nous, on se pose pas ce genre de questions. De nos jours la casi totalité des navigateurs sont capables de gerer ça.

Les seuls navigateurs que je vois (j'ai pas testé) et qui peuvent ne pas etre capable de gerer le SSL, ce sont les navigateur de portables et PDA...

En faisant une detection de l'user agent ? ça te suffit pas ?

wAx

"la quasi" moi je voudrai etre sur!!!
enfin bon c est quoi ton user agent???

en fait sais tu si lors d un passage d une page http à une page https les données qui transitent sont cryptées??

car en fait sur ma page d accueil il y a le login et le mot de passe et je voudrai que les données soit crypté. donc mettre la page d accueil en https aussi
enfin bon je sais pas trop quoi faire et comment m y prendre!!!

seb

L'user agent, c'est la "reference" qui identifie le navigateur. Chaque navigateur lors de ses conversations avec le serveur, inscrit l'user agent dans l'entete HTTP

Cette variable peut etre retrouvée par le serveur pour adapter son comportement. Ainsi, si tu identifies IE5, tu sauras qu'il gere le SSL...

Sinon, pour ton histoire de page de login, la page contenant le formulaire doit etre en SSL, donc la premiere page de ton site.

Ce qu'on fait généralement, on met la page d'acceuil en https et on met une page par défaut en http, cette page redirigeant le client vers la page https

Ainsi, que le client tapes d'adresse http ou https, il sera redirigé vers la page https pour s'identifier en toute sécurité

Petite question annexe...

Est ce un site perso ou professionnel ? Car si tu veux mettre en place du SSL, tu vas devoir ACHETER un certif et c'est pas du tout donné ce genre de tites choses......

A toi de voir le niveau de sécurité voulu.

Pour revenir sur l'histoire de la double page d'acceuil.

Tu fais ta page d'acceuil, qu'on va appeler index.html dans laquelle tu as l'identification des users. Tout le site est configuré pour exiger un cryptage SSL.

Tu fais une autre page, appelée default.html. Dans la configuration serveur, tu configures default.html comme page par défaut. De plus, tu donnes, à cette page exclusivement, le droit de ne pas etre en SSL.

Dans la page default.html, tu fais une redirection javascript vers le site https et index.html.

tu as donc deux scénarii:

Soit l'internaute tape: http://www.monsite.com
il va arriver sur la page http://www.monsite.com/default.html
il sera redirigé automatiquement sur https://www.monsite.com/index.html

soit l'internaute sait que c'est du https et tape https://www.monsite.com
Il va arriver sur https://www.monsite.com/default.html
Sera redirigé vers https://www.monsite.com/index.html

Tout se fait tout seul

En ce qui concerne la gestion des differents browser, c'est dans default.html que tu dois détecter et choisir la redirection que je t'ai expliquée ou alors vers une page d'erreur....

Mais j'insiste, le taux de browser ne gerant le ssl est tellement ridicule, qu'il y a mm de fortes chances que tu n'en ai aucun parmi tes visiteurs.

Non c est professionnel je suis actuellement en stage. mais sinon il est possible pour que ce soit gratuit quand on cré sa propre autoriter de certification...
enfin bon pour ce qui est du cryptage j ai bien compris ok mais car il y a toujours un mais!!!!!! lol
il y a une page d accueil actuellement avec l identification sur celle-ci. si j active ssl et cryptage 128 bitessur les pages suivantes au moment du passage du mode http au mode https les données ne sont pas crypter??
sinon ca resoudrait tout ou presque !!!!
moi je vois deux scenar aussi :

1)
Soit l'internaute tape: http://www.monsite.com
il va arriver sur la page http://www.monsite.com/default.html
si il supporte ssl =>
il sera redirigé automatiquement sur https://www.monsite.com/index.html
sinon
http://www.monsite.com/error.html


soit l'internaute sait que c'est du https et tape https://www.monsite.com
Il va arriver sur https://www.monsite.com/default.html
si il supporte ssl
Sera redirigé vers https://www.monsite.com/index.html
sinon
http://www.monsite.com/error.html

avec default.htm qui est une page test pour observer si l utilisateur supporte ou non ssl et le cryptage
mais mon pbm reste le meme comment voir si le browser supporte ou pas je peux detecter si il y a une erreur sur le navigateur du client??


une autre question qd on active ssl sans cryptage 128b est-ce que les donnees sont crypter qd meme??? (je crois que oui mais a 40b juste!!) confirme moi ca stp!!!

merci encore de t interesser a mon pbm et de l aide que tu m apportes!!!

Alors, on va prendre les choses dans l'ordre lol

non c est professionnel je suis actuellement en stage. mais sinon il est possible pour que ce soit gratuit quand on cré sa propre autoriter de certification...
Effectivement, sauf que si tu crées ta propre autorité, le navigateur va refuser le certificat (fais un test) en disant "certificat valide, mais emis par une autorité à laquelle vous n'avez pas décidé de faire confiance, l'accepter malgré tout ?"

Le seul moyen pour que cela n'arrive pas, c'est que le client connaisse l'autorité. Si ton client dit oui, la question ne se posera plus... mais elle arrivera chez chaque nouveau client. Autre solution, acheter le certif car il y a une liste d'autorités officielles, déja préinstallées chez les nagivateurs et ce sont eux qui vendent les certifs...

il y a une page d accueil actuellement avec l identification sur celle-ci. si j active ssl et cryptage 128 bitessur les pages suivantes au moment du passage du mode http au mode https les données ne sont pas crypter??
Non, si la page contenant le formulaire etait pas en HTTPS, les données seront emises non cryptées

1)
Soit l'internaute tape: http://www.monsite.com
il va arriver sur la page http://www.monsite.com/default.html
si il supporte ssl =>
il sera redirigé automatiquement sur https://www.monsite.com/index.html
sinon
http://www.monsite.com/error.html
C'est le scénario que je t'ai décrit

soit l'internaute sait que c'est du https et tape https://www.monsite.com
Il va arriver sur https://www.monsite.com/default.html
si il supporte ssl
Sera redirigé vers https://www.monsite.com/index.html
sinon
http://www.monsite.com/error.html
Tu te contredits toi meme lol. Si l'internaute sait que c'est du HTTPS, et qu'il tape https://.... mais que par contre son client ne supporte pas le ssl, il n'arrivera jamais sur la default.html et ne pourra donc pas etre redirigé sur error.html :-)

mais mon pbm reste le meme comment voir si le browser supporte ou pas je peux detecter si il y a une erreur sur le navigateur du client??
Soit avec l'user Agent, mais il te faut avoir une liste de navigateurs connus pour savoir s'ils supportent ou pas ssl, sinon dans la page default.html, je vois bien un script javascript capable d'interroger le client du genre "sais tu gerer le ssl" et rediriger en fonction. Je reste persuadé que tu trouveras des scripts javascript tout fait

une autre question qd on active ssl sans cryptage 128b est-ce que les donnees sont crypter qd meme??? (je crois que oui mais a 40b juste!!) confirme moi ca stp!!!
Je confirme ;-)

wAx

Merci pour toute ton aide ca y est j ai reussi
je detecte si le client a ssl d activer ou pas !!!!!!!
COOOOLLLLLL
je suis hyper content.
merci beaucoup pour toutes tes reponses

tu connais un site ou il y a les différents prix pour avoir un certificat d'une autorité reconnue???????
sinon connais tu les commandes https pour en faire???

Et si tu nous disais comment tu as fait ? ça pourra servir à d'autres personnes....

Pour les obtentions de certif, nous avons l'habitude de les commander ici:
http://www.thawte.com/

Tu ne m'as pas dit s'il etait embetant que le client refuse le certificat la premiere fois en cas de certificat perso...

Oui desole je vais le dire :
il faut rajouter deux lignes dans la page web en mode javascript.
voila:
window.setTimeout("document.all('IDoc443').src=''", 7000);
document.write('<img src="https://mon_serveur/image_sur_serveur.jpg" ID=IDoc443 onerror="if (typeof(oc443)==\'undefined\') oc443=false" onload="oc443=true" >');


voila voila c est super oc443 renvoit soit true soit false
suivant si ssl est activer ou pas.

bin oui c est toujours enbetant s il refuse le certificat perso car il n a pas acces au site!!!
sinon peut on faire son certificat perso et ne plus avoir une fenetre popup qui s affiche a chaque fois.
je suis aller sur un site ou ils ont un certif perso et meme en installant le certificat dans mes autorite de certif, il y a encore un popup qui s affiche. !!!!!

est-ce normal docteur???

ouais je connaissais ce site sinon mais un site qui compare t en a un ??? t embete pas sinon je rechercherai sur google !!!

Je vois, en gros tu essayes d'acceder à un element sécurisé, (l'image) et selon si tu y arrives ou pas tu en déduis si le ssl est ok ou pas.

Pour revenir aux certifs perso. Si le certif est pas emis par une autorité officielle, tu as un popup de confirmation. Par contre si tu as un certif perso, que tu l'installes dans ton magasin, tu ne dois plus avoir de popup par la suite.

Cependant, il y a autre chose, independant de l'autorité officielle ou pas.

Le certif est délivré pour un site mais surtout pour une url précise. Meme s'il vient d'une autorité officielle, mais que l'url ne correspond pas, tu vas avoir le popup

Par ex: Certif délivré pour www.monsite.com.
Tu l'installes bien comme il faut sur le site mais au lieu de taper https://www.monsite.com, tu tapes 192.168.0.15 paske c'est ton serveur et tu connais son ip

Ben là, il n'y a plus concordance d'url, et tu as le popup.

Donc fais attention à ça. Fais la requette sur l'url inscrite dans le certif

wAx

Okay ca je savais mais ce que j ai du mal a faire c est d en creer un valide pour mon site
tu connais les commandes openssh??? je l ai telecharager pour windows !!!!
je l ai avec un exemple mais qd je le fais mon certificat n a pas de clefs privées donc... c ets la memerde lol


sinon ouais pour le test de ssl c ets comme ca mais sur variable temporelle aussi!!! (7s là!! )
enfin bon c est cool ca marche bien!!!

Bon j ai fait qques commandes mais ca ne donne rien de bon !!!!!
je cré un certif d autorite racine mais la clef privees n est pas inclu dedant
elle est dans un fichier a oter
sais tu la commande pour en plus l ajouter dedant???


pour l instant mes commandes sont:

genrsa -des3 -out private/cakey.pem -rand fichier.rand 1024
ca ca genere la clef privee
puis
req -new -x509 -days 3650 -out private/cacert.crt -key private/cakey.pem -config root-ca.cnf
ca ca genere le certificat mais sans y inclure la clef généré precedemment !!!!!!

Comment faire???

Non je me suis tromper c est -config openssl.cnf
désolé