Sou desenvolvedor .net e atualmente estou trabalhando na migração do projeto asp.net de http para https.
Eu trabalhei em alguns tutoriais e estou me perguntando se perdi alguma coisa.
Até aqui:
Instalei e configurei o CA no servidor. O serviço CA está funcionando bem, mas não tenho certeza se ele precisa ser acessível externamente. Eu tenho um localhost/certsrv em execução para enviar as solicitações de certificado. Mais tarde, entro no servidor e confirmo/nego as solicitações.
No mesmo servidor configurei um IIS. Confirmou o certificado que foi gerado pelo serviço CA. Habilitou a autenticação anônima e definiu a senha para ser enviada em texto não criptografado.
Não estou 100% sobre como o certificado funciona. Eu entendi isso corretamente?
- Eu entro no site: https\someaddress.domain\site
- Há um certificado associado a este site, então aparece uma janela informando que este é um certificado desconhecido.
- Confirmo que desejo visualizar o site e os navegadores me levam até esse site.
Como isso melhora a segurança quando transfiro dados entre o navegador e o servidor web?
Responder1
Você está certo. O problema com um certificado autoassinado é que ele não é uma autoridade de assinatura incluída na sua raiz confiável por padrão (daí a mensagem de que não é um provedor conhecido). Para algumas pessoas, isso não é um problema (o OWA vem à mente). No entanto, para que as empresas realizem transações na web, você precisará de uma autoridade conhecida (Verisign, GeoTrust, etc.) para que uma conexão HTTPS simplesmente aconteça e o usuário não seja solicitado a fazer isso acontecer.
Quanto a melhorar a segurança, claro que sim. Ele criptografa o tráfego do navegador do usuário para o seu servidor.
O CA não precisa ser visto de fora.
Há algumas coisas a serem lembradas também com certificados autoassinados. Como o navegador pede permissão, a menos que você o instale na raiz, toda vez que você visita o site, é bastante fácil levar seus usuários a uma falsa sensação de segurança. O que quero dizer é que, como eles receberão essa mensagem cada vez que visitarem seu site, envenenar um pouco o arp e publicar um certificado falso é bastante fácil e, nesse ponto, sua conexão "criptografada" será de propriedade.