Comenzar con SSL y HTTPS

[PosProdukcion]

Hola, a ver si me podéis recomendar algunas páginas para comenzar a aprender cómo programar con SSL y protocolo seguro con PHP, considerando que no se nada.

Me he leido esto y no me entero de nada, también por lo que veo buscando en este foro, las preguntas sobre ssl no reciben muchas respuestas y buscando en Google no doy con buenas páginas.

Espero que me podáis ayudar,
Gracias

[PosProdukcion]

O pensándolo mejor...

Para hacer un sitio web con partes de acceso restringido y una página con gestión de usuarios (alta/baja, etc), cuál de estas opciones es recomendable (más segura y más sencilla):

- ¿Utilizar HTTPS y SSL en las páginas de login y gestión de usuarios?

o

- ¿Utilizar protocolo normal pero encriptar solo los campos de login y contraseñas? (si es que esto es posible)


Gracias

[kaninox]

eso se hace a nivel de servidor amigo si no tiene acceso no lo podra hacer con php ;), el https es cuando ocupa ssl...
informece a traves de su hosting cuanto vale un certificado ssl :) y demas...

[PosProdukcion]

Bueno, a la hora de contratar el hosting, claro que buscaré uno con certificado SSL, pero dónde puedo aprender a usar las funciones SSL de PHP?

He visto cosas por internet (cURL, etc) pero me parecen complejas de entender

Gracias

[kaninox]

curl es de apache tengo entendido .htaccess :P y ssl solo se instala y te reconoce las aplicacion con seguridad en sesiones etc.. segun yo no hay que meter mano a codigo pero me leere algo por que no estoy 100% seguro de ello y te comento.... ;)

edito: recordar que lo que hace ssl es encriptar las cosas solamente para dar seguridad...

[PosProdukcion]

Si, creo que tienes razón y cURL tal vez sea de Apache, lo que he conseguido entender hasta ahora es que el protocolo HTTPS sólo encripta páginas que van del servidor al cliente, pero no del cliente al servidor, y que para encriptar estas páginas de cliente a servidor es necesario usar certificados SSL.

Para utilizar estos certificados tengo entendido que hay que hacer "algo" en los programas php que generan las páginas. He visto varios ejemplos que llaman a cURL con exec(), es decir, es un comando de sistema operativo (por lo tanto será diferente en Linux o Windows):

exec("/usr/local/bin/curl -m 120 -d \"$data\" https://$URL -L",$return_message_array, $return_number);

aquí he visto lo que parece un buen mini-tutorial de instalación de Apache con SSL, y aquí un ejemplo de utilización.

Es decir, entiendo que afecta tanto a la instalación del server, o sea, al hosting, como al programador que , ¿¿debe incluir algo en su código PHP ??

Otras opciones que he visto, menos seguras, pero más sencillas es utilizar encriptaciones simples con JavaScript

Bueno, muchas gracias por tu ayuda

[ever_diaz8]

yo también estoy en las mismas condiciones tengo que hacer una aplicación en web que encripte en https y manejando php el servidor que tengo esta en godaddy y me dice que si contamos con el certificado ssl ahora mi pregunta es como lo utilizo o como lo hago funcionar desde php o html alguien podría profundizar mas a cerca del tema.

Saludos

[GatorV]

En si no necesitas hacer nada, cuando tu haces un request desde https para tu script no hay diferencia excepto el puerto por el que entra el request.

Lo que hace SSL es agregar una capa extra en la comunicacion para que los datos entre el servidor y el cliente y del cliente al servidor vayan codificados.

Saludos.

[ever_diaz8]

mmm creo que ando en mis cinco minutos que como que no entendí bien en si creo qu no acabo de imaginarme como echar a andar el https o como crear o ligar o dirigir mis lo que haga o los datos a esa dirección.

bueno he leído un poco del funcionamiento pero no he terminado de comprender la implantación o el desarrollo

[nicolaspar]

A ver si te puedo aclarar un poco más la situación.

SSL (Secure Sockets Layer) es un protocolo criptográfico que proporcionan llamadas seguras, esto supongo ya lo sabrás.

Ahora bien, eso no nos interesa si lo que necesitas es usarlo y no instalarlo o hacer algo "raro" con él, ni siquiera debería interesar con que se firma, ya que eso corresponde al isp (aunque creo que podes tener tu propio certificado), todo lo que tenes que hacer para usarlo es, en vez de esto (un ejemplo sobre un form):

Código PHP:

  <form action="proceso.php">
....  
   

Esto:

Código PHP:

  <form action="https://tudominio.com/proceso.php">
....  
   

Sin más, los datos serán enviados de manera segura, no debés hacer más nada en ningún lado.

[PosProdukcion]

Pues vaya lío. Yo juraría que en algún sitio leí que HTTPS era seguro y encriptado sólo en la dirección SERVIDOR --> CLIENTE y no en la direccón CLIENTE --> SERVIDOR, pero buscando por el historial no doy con esa página así que ha debido ser una alucinación.

En cualquier caso aquí van unos enlaces que pueden ser de ayuda:

- Introducción a HTTPS

- Servidores con certificado SSL propio en Windows

- HTTPS Transactions Via PHP (3 páginas).
En la página 2 viene el código PHP (linux):

Código:

<?php

$URL="some.test.url.com/ecomms-test.php";

exec("/usr/local/bin/curl -m 120 -d \"$data\" https://$URL -L",$return_message_array, $return_number);

for ($i = 0; $i < count($return_message_array); $i++) {
    $results = $results.$return_message_array[$i];
}

$res = explode(",",$results);

if ($res[0]=="0") {
    print "Passed !!";
} else {
    print "Failed :-(";
}

?>

Otras opciones son, pasar de HTTPS y utilizar encriptaciones en JavaScript, para que los datos viajen encriptados desde el cliente al servidor (menos seguro pero más barato/sencillo):

- Un truco en la página de Tunait de JavaScript
- Buscando javascript con MD5 o SHA1 en google salen varias páginas con ayuda para programar con estos dos algoritmos de encriptación

Pues a mí por lo menos ahora me ha quedado más claro, espero que a los demás también

Saludos

[Thonso22]

Hola a todos...

Estos temas son jodidos... la verdad que hay muy poca documentacion de esto..

Yo por lo que he aprendido donde estoy... tienes que habilitarte uno puerto seguro...

luego a este puerto tienes que asignarle el certificado con el que encriptara cada pagina....

Y despues de eso.. ya cada vez que llames a una pagina.. la llamaras a ese puerto y te la encriptara..

ejemplo del codigo httpd.conf que yo tengo..

<VirtualHost *:8443>
SSLEngine On
SSLCertificateFile C:/apache/conf/ssl/apache.crt
SSLCertificateKeyFile C:/apache/conf/ssl/apache.key
DocumentRoot C:/apache/htdocs/doc-root8
ErrorLog logs/error-skylights8443.log
Alias /skylights C:/apache/htdocs/skylights8
</VirtualHost>

SSLEngine On<-- este lo que hace es que activas el ssl... (LoadModule ssl_module modules/mod_ssl.so) de este modulo que tiene que estar activo..

SSLCertificateFile<-- donde esta el certificado
SSLCertificateKeyFile <-- a la hora de generar un certificado.. hemos de generar uno que tiene la clave para desencriptar el cerificado...

Y el reso ya sabeis como es... aunque la descripcion de lo que os he dado era bastante facil de saber....

Para crear un certificado.....

http://www.dylanbeattie.net/docs/ope...ssl_howto.html

Aqui teneis todo lo necesario.. y ya puedes tener paginas en https!!!

Cualquier cosa que pueda ayudar.. o duda.. intentare resolverla.. pero tampoco es que sepa mucho del tema...

Saludos