SSL e IP dedicato

[Eugene]

Buongiorno.

Sto lavorando ad un progetto che comporta la realizzazione di un software gestionale online (in php).
Per questo lavoro, non trattandosi del solito sito, vorrei capire se sia il caso di utilizzare qualcosa di diverso dal normale in termini di sicurezza e funzionalità.
Mi sono quindi imbattutto negli IP dedicati e nella certificazione SSL.

Il senso di questi due elementi (mai utilizzati in precedenza) mi è sufficientemente chiaro, ma quello che mi sfugge è se, per poter utilizzare un server sicuro, sia necessario avere un IP dedicato.
In base a quanto ho letto finora sembrerebbe di si, ma non ho trovato nulla che ne esponga chiaramente il perchè.

Qualche esperto portrebbe illuminarmi a riguardo?

Grazie.

[tzm.net]

Hai capito bene, per utilizzare il certificato SSL sul server è necessario un'indirizzo IP dedicato.

[Uno]

Qualche esperto portrebbe illuminarmi a riguardo?

Il fatto che chiedi agli esperti mi impedirebbe di rispondere , ma se ti accontenti di uno che massacra software e pc finchè non funzionano come vuole lui, ci vogliano pure anni (non ho fretta) allora ti rispondo:

Apache può gestire più siti con una sola installazione, questi si chiamano virtual host, per fare questo ad un determinato IP, tramite configurazioni, associa tutti i domini che gli si danno. In sostanza quando arriva al server la chiamata dell'indirizzo XXX.XXX.XXX.XXX sulla porta 80, quella generalmente del web, lui vede quale dominio è richiesto ed indirizza la richiesta nella giusta cartella.
Con SSl purtroppo non fa la stessa cosa, puoi installare in solo certificato su un IP, anche se la richiesta che arriva ha un dominio diverso, ma l'IP è quello, sulla porta 443 (quella web ssl di solito) consegna sempre lo stesso certificato.
Quindi volendo si possono anche avere 20 siti sullo stesso Ip con certificato, ma il certificato sarà uguale per tutti, cosa che raramente va bene.
C'è un'estensione TLS per Apache che consente di assegnare sullo stesso IP più siti con certificati ssl, ma ancora ha troppi problemi, per esempio non funziona con tutti i browser.
Io mi sto inventando una cosa con delle vps ed indirizzi privati rediretti su quello fisso, non ho ancora avuto tempo di testare... dovrebbe funzionare però

[Eugene]

Grazie mille per le risposte.

Ma allora come fanno certe aziende ad offrire certificazioni SSL anche in assenza di un IP fisso?
E' una presa per i fondelli?

[EvolutionCrazy]

cosa vuol dire "offrire certificazioni SSL"?

comunque come ti è stato detto sopra esiste TSL... ed esistono anche certificati con il CN sbagliato.... che comunque garantiscono lo stesso identico livello di sicurezza dei certificati normali...

[Eugene]

Credo ci sia un fraintendimento di fondo: io non ho intenzione di creare un mio server con certificazioni SSL o altro, ma devo avvalermi di un'azienda di hosting per un mio lavoro.

Come dicevo all'inizio, questo lavoro richiede livelli di sicurezza più alti rispetto ai siti tradizionali, quindi devo decidere cosa fare e quanto spendere.

Ci sono aziende che offrono server con certificazioni SSL anche gratuitamente così come ce ne sono altre con tariffe da oltre 400 euro annui.
Questo non fa altro che creare confusione al sottoscritto, il quale sconosce assolutamente la materia.

A questo punto vorrei capire: se un'azienda mi offre un server sicuro con certificazione SSL e Site Seal a 40 euro l'anno, cosa ha di diverso rispetto ad un'azienda che ne chiede 500 per lo stesso periodo?

Cambia il livello di sicurezza, abbiamo a che fare con dei truffaldini o cosa?

Grazie.

[Uno]

Credo ci sia un fraintendimento di fondo: io non ho intenzione di creare un mio server con certificazioni SSL o altro, ma devo avvalermi di un'azienda di hosting per un mio lavoro.

Come dicevo all'inizio, questo lavoro richiede livelli di sicurezza più alti rispetto ai siti tradizionali, quindi devo decidere cosa fare e quanto spendere.

Ci sono aziende che offrono server con certificazioni SSL anche gratuitamente così come ce ne sono altre con tariffe da oltre 400 euro annui.
Questo non fa altro che creare confusione al sottoscritto, il quale sconosce assolutamente la materia.

A questo punto vorrei capire: se un'azienda mi offre un server sicuro con certificazione SSL e Site Seal a 40 euro l'anno, cosa ha di diverso rispetto ad un'azienda che ne chiede 500 per lo stesso periodo?

Cambia il livello di sicurezza, abbiamo a che fare con dei truffaldini o cosa?

Grazie.

Ma quello è il costo dei certificati, dipende con chi lo prendi, o con chi lo prende chi ti da il servizio tutto incluso.
Ce ne sono anche gratuiti o da 20 euro l'anno, cosa cambia?
A volte il livello di criptazione in bit, ma non sempre, a volte si paga il nome... altra differenza potrebbe essere quanto è già diffuso sui browser senza doverlo installare

[EvolutionCrazy]

se hai problemi di sicurezza lo shared lo lascerei stare...

[Eugene]

Scusatemi, vi faccio presente che state parlando con un ignorante in materia.

Non ho mai utilizzato alcun server sicuro o certificazione SSL prima d'ora, quindi non ho idea di come si gestisca materialmente la cosa.

In questo momento non mi interessa sapere quale sia il nome più popolare, mi serve capire se la certificazione offerta da un'azienda di hosting a 30 euro l'anno sia affidabile e sicura ed allora perchè esistono aziende che si fanno pagare 500 euro per lo stesso servizio.
Mi è chiaro il fatto che possa essere produttivo per un sito avere una certificazione rilasciata da un marchio conosciuto piuttosto che uno scognito, ma non ho ancora capito se la differenza risieda solo in questo aspetto.

se hai problemi di sicurezza lo shared lo lascerei stare...

Cosa intendo per shared?
Riferito a cosa?

Grazie.

[WizOfOz]

se hai una applicazione e vuoi anche mantenere una certa sicurezza dovresti considerare il fatto di metterla su un VPS o un server dedicato.
la differenza tra i vari certificati dipende anche dalla accettazione delle varie società emettitrici e dalla loro "affidabilità". La sicurezza dei certificati NON dipende da chi li emette.. anzi potresti anche farteli da solo e gratuitamente ma così dovresti "obbligare" i tuoi utenti a installarlo sul loro browser per non avere i noiosi avvisi di sicurezza.

[EvolutionCrazy]

SSL si usa per impedire che ci sia qualcuno che intercetti la comunicazione e la ascolti / manometta...

questo scopo è raggiunto tramite 2 elementi: cifratura dei contenuti e controllo dell'identità della persona (sito) all'altro capo...
(e' inutile cifrare tutto credendo di consegnare in mani buone i propri dati quando in realtà dall'altra parte c'è un impostore con un certificato...)

Il primo punto (cifratura) lo risolvi anche con un certificato selfsigned (completamente gratuito ma unico per tutti i siti su un certo IP)

Per il secondo invece si fa affidamento ad una catena... dove ogni ente è certificato da uno suo superiore...

I costi dei certificati (e relativi servizi) dipendono appunto dal tipo di certificato (chi lo rilascia)... e variano proprio in base a quanti browser riescono a riconoscere tali certificati senza doverli inserire a mano.

Cosa intendo per shared?
Riferito a cosa?

Grazie.

A cosa ti serve cifrare la comunicazione se poi tutto resta in chiaro (non cifrato) su di una macchina che utilizzano altre xxx persone???

Se il problema è la sicurezza prima di preoccuparmi dei certificati (rapidssl o geotrust etc etc) mi preoccuperi ad avere un ambiente tutto mio (un server dedicato) a cui NESSUNO tranne me puo' accedere, e dove TUTTI i dati sono memorizzati cifrati...
La comunicazione è solo un elemento (marginale)...

Ovviamente se io ti chiedessi:
è normale che mi vendano un'automobile per 100.000euro?
come risponderesti?
(Immagino una risposta tipo: <<se e' una citroen c1 no... se e' un audi r8 magari si...>>)
(nota che entrambe sono piu' che sufficienti per andare in ufficio la mattina...)

quindi, visto che insisti su sto prezzo, che certificato ti offrono? rilasciato da chi?

[FlameNetworks]

Scusatemi, vi faccio presente che state parlando con un ignorante in materia.

Non ho mai utilizzato alcun server sicuro o certificazione SSL prima d'ora, quindi non ho idea di come si gestisca materialmente la cosa.

In questo momento non mi interessa sapere quale sia il nome più popolare, mi serve capire se la certificazione offerta da un'azienda di hosting a 30 euro l'anno sia affidabile e sicura ed allora perchè esistono aziende che si fanno pagare 500 euro per lo stesso servizio.
Mi è chiaro il fatto che possa essere produttivo per un sito avere una certificazione rilasciata da un marchio conosciuto piuttosto che uno scognito, ma non ho ancora capito se la differenza risieda solo in questo aspetto.

La differenza di prezzo si basa sostanzialmente su 3 fattori:

1) La Certification Authority che rilascia il certificato (Es: Starfield, Equifax etc...)
2) Il tipo di cifratura del certificato
3) Se il certificato è di tipo Wildcard (cioè valido per *.dominio.estensione)

Ciao

[EvolutionCrazy]

azz vero... avevo dimenticato i wildcard... anche quello fa lievitare il costo di molto

[WizOfOz]

Tra i nomi più "blasonati" c'è Thawte (che fa parte di verisign) con prezzi abbordabili...

[Eugene]

Innanzitutto grazie a tutti per avermi chiarito le idee.

Per quanto ancora confuso sulla materia, ne so sicuramente più di prima ed ho appreso cose che prima ignoravo.

Se il problema è la sicurezza prima di preoccuparmi dei certificati (rapidssl o geotrust etc etc) mi preoccuperi ad avere un ambiente tutto mio (un server dedicato) a cui NESSUNO tranne me puo' accedere, e dove TUTTI i dati sono memorizzati cifrati...

Server dedicato ed IP dedicato sono due cose differenti, giusto?

quindi, visto che insisti su sto prezzo, che certificato ti offrono? rilasciato da chi?

Non ho insistiso perchè un'azienda in particolare mi abbia proposto questo prezzo, ma facendo delle ricerche in rete ho trovato prezzi tra i più svariati.
Proprio in una sezione di questo forum ho trovato l'annuncio di un'azienda che offre certificazioni a partire da 10 euro l'anno, e loro stessi hanno affermato che tra una certificazione da 10 euro ed una da 100 euro non cambia praticamente nulla in quanto a sicurezza, è tutta una questione di "nome".

Tra i nomi più "blasonati" c'è Thawte (che fa parte di verisign) con prezzi abbordabili...

In effetti questo lo conosco anch'io, ricordo di aver visto il logo in diversi siti.

Grazie ancora e buona giornata.