SSL-Zertifikat und IdHTTPServer

[romber]

Hallo!

Ich habe mithilfe von IdHTTPServer einen Webserver gebastelt und möchte nun den Login und einige Seiten mit SSL schützen.
Ich habe keine Ahnung, wie ich das am besten mache. Bis jetzt habe ich nur Indy+OpenSSL nur klientseitig eingesetzt.
OpennSSL ist installiert.

- Brauche ich einen SSL-Zertrifikat?

Wenn JA:

- Was muss das für einen Zertifikat sein? Ich meine, es gibt ja verschiedene Zertifikate mit Domain-Prüfung, Firmenindentität-Prüfung, grüner Adresszeile im Browser usw. Das alles dient der Bestätigung der Identität des Seiteninhabers, die ich im Prinzip ja nicht brauche, weil meinen Webserver nicht über den Browser zugegrieffen wird. Die Verschlüsselung ist doch bei allen Zertifikaten gleich, oder?

- Manche Anbieter bieten kostenlos SSL-Zertifikate an. Der Haken bei diesen Zertifikaten ist, dass sie nicht von allen Browsern ohne weiteres unterstützt werden und müssen zuerst im Browser installiert werde. Passt so ein Zertifikat für meine Bedürfnisse?

- Und nun die wichtigste Frage: wie binde ich den Zertifikat in meinem Indy-HTTPServer? Der SergverIOHandlerSSL hat so wiele verschiedene Eingeschaften und Einstellungen... Gibt es dazu ein Tutorial?

Vielen Dank!

[jfheins]

SSL läuft ungefähr so: Der Server stellt ein Zertifikat bereit, dass ihn identifiziert und sicherstellt, dass er auch der ist, für den er sich ausgibt.

So ein Zertifikat kann aber jeder sich selbst ausschreiben und deshalb ist es für sich genommen wertlos. Damit es ein richtiges Zertifikat ist, muss es von jemand anderem unterschrieben worden sein. Dieser andere muss natürlich vertrauenswürdig sein. Das ganze läuft also auf sowas hinaus: Ich vertraue A, A hat das Zertifikat von B ausgestellt, und deshalb kann ich auch B vertrauen.

Um allerdings so ein vertrauenswürdiges Zertifikat zu bekommen wirst du >100 Euro in die Hand nehmen müssen ;)

[romber]

Genau das ist der Punkt: ich brauche kein Zertifikat, der meine Vertrauenswürdigkeit beweist. Mit diesen Vertraueswürdigkeit-Konzepten machen die Anbieter millionen, die wichtigste Aufgabe des SSL, nähmlich sichere verschlüsselte Kommunikation zwischen Client und Server, tritt dabei ist Hintergrund.
Meine Aufgabe ist, die persönliche Daten der Endbenutzer verschlüsselt von einem Programm auf den Webserver zu übertragen.

[jfheins]

Wenn du beide Programme stellst (und damit weist, dass der Kommunikationspartner vertrauenswürdig ist) brauchst du natürlich kein 100€-Zertifikat.

(Aber die eine Aussage kann ich so nicht stehenlassen, denn die Sicherheit beruht ja darauf, dass ich auch mit dem richtigen kommuniziere ;) )

Die einfachste Möglichkeit wäre wahrscheinlich dein Zertifikat auf dem PC als vertrauenswürdig zu installieren ... ich denke mal die Indys werden den lokelen Zertifikatsspeicher benutzen.

[romber]

Das heisst, ich brauche überhaupt kein Zertifikat oder wie?

[generic]

Zertifikate gibt es hier sehr günstig:
http://www.psw.net/ssl.cfm

Ich habe mich für das Bronze für 3 Jahre = 69€ entschieden.

Wenn du willst kann du hier schauen, dort habe ich es installiert:
https://www.software-uptodate.de