如何使用https保护网站

Question

我必须为公司构建一个小型webapp来维护他们的业务数据......只有公司内部的人才会使用它,但我们计划在公共领域托管它,以便员工可以从不同的位置连接到应用程序.(直到现在我已经构建了仅在内部托管的Web应用程序)

我想知道我是否需要使用安全连接(https)或只是表单身份验证就足够了.

如果你说https,我有一些问题:

1. 我该怎么做才能为https准备我的网站.(我需要更改代码/配置)
2. SSL和https是一样的......
3. 我是否需要向某人申请获得某些许可证等.
4. 我是否需要保护所有页面或仅登录页面...

我正在网上寻找答案,但我无法获得所有这些要点...任何白皮书或其他参考资料也会有所帮助......

如果您需要更多信息,请随意询问.

谢谢

• 拉贾

Answer 1

我该怎么做才能为https准备我的网站.(我需要更改代码/配置)

您应该记住安全编码的最佳实践(这是一个很好的介绍:http://www.owasp.org/index.php/Secure_Coding_Principles),否则您只需要一个正确设置的SSL证书.

SSL和https是一样的吗？

差不多,是的.

我是否需要向某人申请获得某些许可证等.

您可以从证书颁发机构购买SSL证书或使用自签名证书.您可以购买的产品价格差异很大 - 从每年10美元到数百美元不等.例如,如果您设置在线商店,则需要其中一种.自签名证书是内部应用程序的可行选项.您也可以使用其中一个进行开发.这是一个关于如何为IIS设置自签名证书的好教程:使用自签名证书在IIS 7.0上启用SSL

我是否需要保护所有页面或仅登录页面..

对所有内容使用HTTPS,而不仅仅是初始用户登录.它不会产生过多的开销,这意味着如果被截获,用户从远程托管的应用程序发送/接收的数据将无法被外部方读取.即使Gmail现在默认也会启用HTTPS.

Answer 2

什么样的商业数据？商业秘密或只是他们不希望别人看到的东西,但如果它出来了,那不是什么大不了的事吗？如果我们谈论商业秘密,财务信息,客户信息和一般保密的东西.然后甚至不去那条路.

我想知道我是否需要使用安全连接(https)或只是表单身份验证就足够了.

始终使用安全连接.

我是否需要更改代码/配置

是.好吧可能不是.您可能希望有专家为您执行此操作.

SSL和https是一样的......

大多数是的.人们通常将这些事物称为同一件事.

我是否需要向某人申请获得某些许可证等.

您可能希望由证书颁发机构签署证书.这会花费你或你的客户一点钱.

我是否需要保护所有页面或仅登录页面...

始终使用https.如果该站点适用于内部用户,则性能通常不是问题.

我正在网上寻找答案,但我无法获得所有这些要点...任何白皮书或其他参考资料也会有所帮助......

从这里开始寻找指导:http://www.owasp.org/index.php/Category:WHASP_Guide_Project

请注意,一旦可以从互联网访问,SSL是使您的网站安全的极小部分.它并不能阻止大多数黑客行为.

Answer 3

我认为您对您的站点身份验证和SSL感到困惑.

如果您需要将您的站点设置为SSL,则需要在Web服务器中安装SSL证书.您可以从Symantec等其中一个地方为自己购买证书.证书将包含您的公钥/私钥对以及其他内容.

您不需要在源代码中执行任何操作,并且仍可以继续使用站点中的表单身份验证(或任何其他).只是这样,Web服务器和客户端之间发生的任何数据通信都将使用您的证书进行加密和签名.人们会使用安全HTTP(https://)来访问您的网站.

查看此信息以获取更多信息 - > http://en.wikipedia.org/wiki/Transport_Layer_Security