Sigurni web servisi

[Ivan-94]

Nemam mogucnosti da pisem server jer je shared hosting ali tu su web servisi koje cu da radim u PHP-u, i klijenta u C++.
Da li neko ima ideju kako da osiguram "razgovor" izmedju klijenta i servisa(http), da izbegnem MITM i slicne napade? Posto ce da se prenose veoma osetljive informacije.

[Fantastic]

mozda je bolje da koristis HTTPS

[Geomaster]

Najbolje bi bilo da koristiš HTTPS, a ako baš nisi u mogućnosti onda koristi neki public-key algoritam za šifrovanje (RSA kao prvi kandidat mi pada na pamet, ima slobodna implementacija u OpenSSL biblioteci). MITM onda može da uhvati javne ključeve klijenta i servera, mogao bi ako može da menja saobraćaj između klijenta i servera i da lažira informacije koje su poslate ali nikako neće moći da vidi cleartext podataka koji se šalju. S obzirom da je RSA dosta spor zbog operacija koje se koriste (stepenovanje, kao prvo), mogao bi pomoću RSA da uradiš samo key exchange a onda komunikaciju vršiš korišćenjem nekog stream ciphera kao što je RC4. (Sličan pristup se, koliko ja znam, koristi i u HTTPS-u i ostalim SSL/TLS-baziranim protokolima.)

[Neutrino]

SSL sertifikat nekog poznatijeg registra sa obaveznom klijentskom peer verifikacijom bi trebalo da bude dovoljno. Ako ti se servis nalazi na serveru sa statičkom IP adresom osiguraj u kodu klijenta da se podaci vuku isključivo sa naznačene IP adrese itd. itd.

[Geomaster]

^ Spomenuo je shared hosting tako da ne znam koliko je to izvodljivo, ja sam imao ogavna iskustva s takvim stvarima...

[Neutrino]

Nisam primetio u toku čitanja. "Shared hosting" i "siguran web servis" su dva termina koji ne idu zajedno ni u naučnoj fantastici. Za tako nešto je potreban minimalno VPS ili još bolje dedicated server sa statičkom IP adresom.