Webserver-Absicherung mit PKI

[möbi 10]

Aus Interesse beschäftige ich mich gerade mit dem Thema, einen Webserver abzusichern, der in einer DMZ steht.

 

- Windows 2000 Server SP4

- Apache2 Webserver mit Plugin für den IBM WebSphere Portalserver

- Kein Domänenmitglied, wär aber möglich Domänenmitglied (W2K3) zu werden

 

Der Server hat nur die Funktion Anfragen aus dem Internet entgegenzunehmen und über das Plugin an den Websphere Portalserver weiterzuleiten.

 

Wär PKI hier der richtige Ansatz, oder liege ich da komplett falsch?

[Velius 10]

Hi

 

 

Wär PKI hier der richtige Ansatz, oder liege ich da komplett falsch?

 

..richtige Ansatz für was? Die Anfragen auf den Server im Internet durch SSL/TLS absichern oder der weiterführende Verkehr zum Websphere Server?

 

Ausserdem ist das eine Frage der Sensibilität deiner Daten. Grundesätzlich würd ich schon drüber nachdenken ein Zert zu instllieren wenn z.B. Passwörter über's I-Net übetragen werden, auch wenn's bloss die des lokalen Rechners sind. Man kann ja dafür selbst erstellte verwenden.

 

 

Gruss

Velius

[möbi 10]

Hauptsächlich soll es darum gehen die Anfragen auf den Server im Internet durch SSL/TLS abzusichern.

[Velius 10]

Eben, wie erwähnt, sobald Passwörter oder Daten zu Personen enthalten sind würd ich drüber nachdenken. Öffentliche Zerts gibt's bei z.B. Verisign oder Thawte

[möbi 10]

Okay... vielen Dank schonmal :) Möchte mich mit dem Thema einfach mal beschäftigen :)

[Velius 10]

Hier gibt's noch mehr Infos zu: Windows Server How-To Guides: Selbstsigniertes Zertifikat für den IIS 6.0 erzeugen und installieren - ServerHowTo.de

[pillendreher 10]

Hi,

 

wenn es sich um einen Webserver handelt auf dem viele externe zugreifen würde ich dir ein vertrauenswürdiges Zertifikat von TC Trustcenter, Verisign, o.ä. empfehlen.

 

Wenn du dir eine eigene CA einrichtest, benötigst du einiges an knowhow.

 

Aber der wichtigest Punkt für mich ist, dass selbst erstellte Zertifikate nicht vertrauenswürdig gegenüber externen sind. Das heißt entweder sie bekommen immer ein Popup oder sie erkennen deine Root CA als "vertrauenswürdige Stammzertifizierungsstelle" an. Und das geht indem Sie das Public Cert deienr Root CA installieren....

Ich empfinde das für externe Webserver als nicht tragbar.

 

P.S.: Webserver Zertifikate sind nicht sehr teuer ( ca. 200€/Jahr )

 

Gruß

Pille