Защита http-соединения

Question

Я ищу информацию о защите веб-сайта. Веб-сайт - это своего рода консоль управления, к которой можно получить доступ через веб-браузер. Консоль в настоящее время доступна только во внутренней сети, но я хочу сделать ее доступной через Интернет, только для некоторых конкретных пользователей/устройств.

Первой проблемой, с которой я столкнулся, является то, что консоль управления вообще не предоставляла аутентификацию. Чтобы преодолеть эту проблему, я установил apache, который я использую как прокси-сервер (обратный?), И в котором я включил базовую аутентификацию, поэтому теперь я должен ввести имя пользователя и пароль, прежде чем я смогу получить доступ к консоли.

То, что я хочу сделать дальше, состоит в том, чтобы не допустить, чтобы имя пользователя и пароль отправлялись по строке в виде обычного текста (я предполагаю, что это происходит сейчас). Я думаю, что я должен сделать это https-соединение для этого, но я нахожу так много информации об этом, так что я немного потерял, как продолжить. Могу ли я сделать эту работу с самоподписанными сертификатами или мне нужно покупать сертификаты где-нибудь?

Answer 1

Вы правы в защите паролей через https. Я бы предложил перенаправить все на ваш сервер через https, следуя this article.

Я предлагаю тестировать все решение, не покупая ничего. Покупка сертификата означает, что он будет привязан к вашему серверу. Я полагаю, что при разработке вашего решения вы используете сервер разработки. Если вы покупаете сертификат для своего сервера разработки, вам придется покупать еще один для вашего производственного сервера. Поэтому я бы использовал самозаверяющий сертификат для разработки, и когда приложение будет готово к публикации, я бы купил сертификат, признанный всеми браузерами.

Для создания самозаверяющего сертификата вы можете использовать this tutorial, если вы работаете в Linux, или this tutorial, если вы работаете над окнами.

Надеюсь, я помог!