Secure Socket Layers

mariano_donati · #1 (**permalink**) 30/04/2005, 22:42

Hola, espero que nadie se asombre con las preguntas que voy a hacer, tengan en cuenta mi completa ignorancia acerca del tema. He visto el simbolo de VERI SIGN SECURE SITE, o algo parecido, en varias paginas de comercio electronico no de mucho renombre. La cuestión es que yo estoy haciendo una página de cormercio electronico, y me gustaría tener esa certificación. Mis preguntas son sencillas, ¿Como hago para obtener esa certificación? ¿Qué cosas tengo que contemplar desde la programación y seguridad de mi sitio para obtenerla? ¿Cuáles son los requisitos para obtenerla?. Bueno, espero que alguien sepa contestarme.
Saludos.

trasgukabi · #2 (**permalink**) 01/05/2005, 12:11

tienes que ir al sitio de verisign, pagar un pastonazo y ya está. de todas maneras, ellos te lo explicarán mejor (http://www.verisign.com/).

mariano_donati · #3 (**permalink**) 01/05/2005, 12:52

Gracias Trasgukabi... pero hay una cosa que no entiendo, osea que los sitios que tienen el logo de VeriSign no es que sean seguros? sino que nomas han pagado para conseguirlo?, o ellos solos se encargan luego de efectuar el pago en transformar tu sitio en un sitio seguro?
Saludos.

trasgukabi · #4 (**permalink**) 01/05/2005, 12:57

si, si que lo son. tú pagas y ellos comprueban. es una especie de certificado de calidad.

sjam7 · #5 (**permalink**) 01/05/2005, 15:06

bueno con verisign te cuesta 995dlls el año, con godaddy 89.95, checa opciones pero primero checa si tu hosting lo soporta

mariano_donati · #6 (**permalink**) 01/05/2005, 16:48

Barbaro, han sido de mucha ayuda. Me gustaria saber una cosa, osea yo pago y ellos comprueban no?, entonces quiere decir que yo desde la parte de programacion debo hacer algún mérito para poder obtener ese certificado, que cosas debo hacer?
Alguien sabe? o me puede pasar algun link en donde salga informacion?. Entre a www.verisign.es, pero nada sale allí de los requisitos.
Saludos y nuevamente gracias.

sjam7 · #7 (**permalink**) 01/05/2005, 18:02

el merito es del hosting

ellos te entregan a ti, despues de realizar una verificacion un archivo de texto, esto es lo que tengo entendido, en la pagina de verisign puedes ver mas info, incluso puedes probar el servicio por 14 dias y ver como funciona

mariano_donati · #8 (**permalink**) 01/05/2005, 18:46

Ah ahora voy entendiendo un poco mas, es decir, que yo lo unico que tengo que hacer es pagar esa cifra y de ahi ellos despues verifican si soy apto para el certificado o no?
Mil gracias por todo.

3pies · #9 (**permalink**) 02/05/2005, 02:52

Bueno, discrepo con lo de que los sitios con certificado verisign son totalmente seguros. Eso es un poco como con los temas de calidad ISO 9000, 9001, 14000, etc. Pagando, San Pedro canta.

Lo digo porque conozco un sitio web, con ese certificado de Verisign, donde se puede entrar (al menos se podía entrar hace 2 meses) en el sitio para usuarios registrados (sitio de una importantísimia editorial española), y descargarte ficheros, artículos de revistas, etc, etc, etc, simplemente usando la sql injection. Lo bueno, es que te dice que "te han sido descontados X euros, por la descarga del fichero"... A saber a que pardillo se lo habrán cobrado.

...Mucho sello de calidad, pero poca fiabilidad.

Editado: lo de importantísimia ha sido un error, pero hasta queda bien y todo

trasgukabi · #10 (**permalink**) 02/05/2005, 07:46

la seguridad de un sitio web, hablando de un certificado, no se refiere al nivel de programación, sino a la manera de cómo viajan los datos. Estando en un sitio con SSL sabes que los datos que mandes por un formulario o lo que sea van encriptados.

3pies · #11 (**permalink**) 02/05/2005, 07:48

Tienes razón, pero no es garantía suficiente de seguridad, ni de calidad de que las cosas están bien hechas y son seguras, ...tan solo de que los datos viajan encriptados

mariano_donati · #12 (**permalink**) 02/05/2005, 11:29

Bueno, pero entonces si pagando se garantiza cierta seguridad, me parece que es una buena inversion para un sitio de comercio electronico. Por supuesto, que con eso solo no me voy a quedar y hay que tratar de hacer una pagina segura en todos los aspectos. El tema de SQL Injection ya lo tengo contemplado a traves de diferentes procedimientos que son llamados cada vez que el usuario suscribe un formulario o cada vez que se manda una variable por la URL. Quizas merme un poco los recursos de la pagina y la velocidad de carga, pero prefiero eso antes que hagan lo que quieran con la base de datos. A ustedes que les parece?. Ah y ahora se me ocurre otra pregunta, a nivel de programación, el único tema que el programador se debe encargar a nivel de seguridad, es el tema de SQL Injection? o hay otras situaciones que debe tener en cuenta?.
Saludos.

sjam7 · #13 (**permalink**) 02/05/2005, 18:29

no tiene que ver que haya errores de programacion con certificados de seguridad, uno certifica el envio de datos el otro es un bug del programador

u_goldman · #14 (**permalink**) 02/05/2005, 19:03

Cita:

no tiene que ver que haya errores de programacion con certificados de seguridad, uno certifica el envio de datos el otro es un bug del programador

Exactamente, no tiene nada que ver una cosa con la otra, ellos no certifican tu sitio ni les interesa, lo unico que hacen es venderete un SSL, mediante el cual, puedes hacer que tus datos viajen encriptados, pero todos los huecos de seguridad (si los tienes) seguiran alli.

Salu2,

trasgukabi · #15 (**permalink**) 02/05/2005, 19:12

mariano, hay que vigilar otras cosas también como el cross-site scripting. en el link libros de mi firma tienes un documento sobre ésto.
y no te preocupes, una simple función para prevenir SQL Injection no retrasa la carga de la página. controlar eso a un procesador le cuesta nanosegundos.
un saludo.

mariano_donati · #16 (**permalink**) 02/05/2005, 21:23

No se como agradecerles todas las respuestas, son de mucha ayuda siempre. Trasgukabi me podrias pasar el link que mencionaste?, realmente me interesa mucho mantenerme informado sobre todas las cosas que tengo que contemplar con respecto a la seguridad, ya que es eso lo que me esta faltando, con respecto a programacion, para terminar el sitio. Así que si me puedes facilitar el link me estarias ayudando muchisimo.
Ahora ya entendi por completo lo que son los certificados SSL, lo han explicado realmente bien al tema. Ustedes que estan mas en el tema, me pueden recomendar alguna firma?. Sjam me recomendo tambien Godaddy, pero me llama mucho la atencion la diferencia de precios que existen entre ellas.
Bueno, lo dicho, muchas gracias y saludos a todos.

trasgukabi · #17 (**permalink**) 03/05/2005, 05:47

http://www.forosdelweb.com/showpost....&postcount=102

esto está escrito para PHP, pero puedes aplicarlo a ASP
http://foro.elhacker.net/index.php/topic,45693.0.html

mariano_donati · #18 (**permalink**) 03/05/2005, 11:08

Excelente Trasgukabi, muy buenos documentos. Te agradezco y espero que no te moleste que los este difundiendo a mis amigos mas cercanos para que tambien conozcan del tema, ya que me parece realmente instructivo y útil lo que hay en ellos.
Ahora, estoy en la decision de comprar un certificado con encriptacion de 40 o 128 bits, segun dicen el de 40 ya es suficiente, pero la verdad es uqe no se... que piensan ustedes?
Saludos.