Soy desarrollador de .net y actualmente estoy trabajando para mover el proyecto asp.net de http a https.
He trabajado en algunos tutoriales y me pregunto si me he perdido algo.
Hasta ahora:
He instalado y configurado CA en el servidor. El servicio de CA funciona bien, pero no estoy del todo seguro de si es necesario acceder a él desde el exterior. Tengo un localhost/certsrv ejecutándose para enviar las solicitudes de certificado. Luego inicio sesión en el servidor y confirmo/rechazo las solicitudes.
En el mismo servidor he configurado un IIS. Confirmó el certificado generado por el servicio de CA. Habilitó la autenticación anónima y configuró la contraseña para enviarla en texto sin cifrar.
No estoy al 100% sobre cómo funciona el certificado. ¿Entiendo esto correctamente?
- Me conecto al sitio web: https\someaddress.domain\site
- Hay un certificado asociado con este sitio web, por lo que aparece una ventana que indica que se trata de un certificado desconocido.
- Confirmo que quiero ver el sitio web y el navegador me lleva a ese sitio web.
¿Cómo mejora esto la seguridad cuando transfiero datos entre el navegador y el servidor web?
Respuesta1
Tienes razón. El problema con un certificado autofirmado es que no es una autoridad de firma incluida en su raíz de confianza de forma predeterminada (de ahí el mensaje de que no es un proveedor conocido). Para algunas personas, esto no es un problema (me viene a la mente OWA). Sin embargo, para que las empresas realicen transacciones en la web, necesitará una de una autoridad conocida (Verisign, GeoTrust, etc.) para que se produzca una conexión HTTPS y no se le solicite al usuario que la realice.
En cuanto a mejorar la seguridad, claro que sí. Cifra el tráfico desde el navegador del usuario a su servidor.
La CA no tiene por qué verse desde fuera.
También hay algunas cosas que recordar con los certificados autofirmados. Debido a que el navegador solicita permiso, a menos que lo instale en la raíz, cada vez que visita el sitio, es bastante fácil adormecer a sus usuarios con una falsa sensación de seguridad. Lo que quiero decir es que debido a que recibirán ese mensaje cada vez que visiten su sitio, envenenar un poco con arp y publicar un certificado falso es bastante fácil y en ese momento su conexión "cifrada" es de propiedad.