SSL

Hello.

SSL fonctionnec avec au minimum un certificat côté serveur. On ne peut donc pas s'en passer.

Généralement, cela affiche un warning dans le navigateur de l'internaute.

Pour éviter ça, il faut faire signer le certificat par une entreprise comme VeriSign, Thawte, etc.
C'est payant.


Tu peux bien sûr signer toi-même ton certificat, et SSL fonctionnera parfaitement bien, mais il y aura la fenêtre de warning.

Ok!!
je vais en parler à mon tuteur!!
sinon, y a-t-il un autre moyen de sécuriser un appli web?

merci

Oh oui il y a d'autres moyens, mais SSL est un excellent choix pour diverses raisons.

Tu pourrais m'énumérer ces solutions parce que je dois faire une étude la dessus (I'm stagiaire!!)
merci beucoup!!

1) SSL est un standard.
(Utiliser des technologies propriétaires pose souvent des problèmes: coûts, problèmes d'interconnexion, indisponibilité des sources, etc.)

2) Il existe des versions libres et opensource de SSL: OpenSSL.
Cela permet de voir le code source (c'est plus sûr, pas de porte dérobée), et de l'inclure dans n'importe quelle application gratuitement.

3) SSL est répandu:
Il y a beaucoup de monde qui utilise SSL. Donc SSL est beaucoup testé. Si une faille apparaît, elle est vite corrigée.
(Avec un truc propriétaire, seul le vendeur peut te corriger la faille. Et il arrive souvent qu'on ne sache même pas qu'il y a une faille).

4) SSL est répandu:
Il est donc facile de dialoguer avec d'autres système quand ils comprennent eux aussi SSL.

5) SSL est modulable:
On peut utiliser différents algorithmes de chiffrement, configurables au choix. Même chose pour le hashage.
En fait, il est même possible d'en ajouter.

6) SSL est souple:
On peut s'en servir pour faire des tas de choses.
Quelques exemple:
- HTTPS (pages web chiffrées)
- SFTP (FTP sécurisé)
- Tunnels SSL (pour sécuriser des protocoles n'ayant aucun système de sécurité comme SMTP ou POP3)
- SSH (sorte de telnet chiffré)
- VPN (réseaux privés virtuels, comme OpenVPN).
- etc.

Les applications possibles sont nombreuses, et c'est facile à utiliser.

7) SSL est une librairie.
Cela permet non seulement de ne pas avoir à coder soi-même un système cryptographique (ce qui est terriblement délicat), mais en plus il est possible de mettre ainsi à jour la couche SSL sans avoir à toucher à ton programme lui-même.
(C'est plus facile et mieux pour la sécurité).

7) SSL supporte les certificats:
SSL inclue un système qui permet de vérifier l'identité des entités qui communiquent.


Il y a sûrement d'autres raisons...

Ok!!

merci pour ce ptit exposé!!c'est sympa de ta part!!
je vais me pancher sur la question et voir comment je peux mettre cela en place!!

J'ai un autre petit souci, je génère mon certificat avec IIS ensuite comment je fais si je veux le faire signer par lui même?

mirci

Je ne sais plus si IIS utilise OpenSSL ou non.

En tous cas, avec OpenSSL c'est la commande:

openssl req -new -key key.pem -out cert.pem -x509 -config openssl.cnf 

Ben je suis en train de cherché car je que c'est possible d'après ce que j'ai pu lire!!

par contre la commande que tu m'as donnée, c'est à taper dans une invite dos? ou dans les scripts?

C'est à taper en ligne de commande.

En théorie tu dois avoir openssl.exe quelquepart sur ton disque dur.

Sinon, vois les docs de IIS.

Oki!!

je vais reagrder cela!
merci

Oki!!

je vais reagrder cela!
merci

Key.pme : cela représente quoi exactement?

car j'ai une erreur quand je copie ce que tu me donne!!

Key.pem, c'est la clé cryptgraphique de ton serveur.
(en tous cas selon la norme.)

Sur un serveur IIS c'est peut-être sous une autre forme.


Voilà une doc sur la création de certiciats et leur signature:
http://www.ritlabs.com/en/products/tinyweb/tinyssl.php

Bon ben j'ai essayé de faire comme sur l'exemple , j'avais récupérer openssl.exe et les lib mé iis n'a pas l'air d'en vouloir!!!
donc....

sinon, on peut faire des tests en local avec çà? genre je taperais https:\\localhost\ma_page

Bonsoir g un soucis je ne comprends pas ce ke c'est fake basixc auth et kel est le rapport avc ssl