Asegurar mi aplicación de escritorio con ssl

Question

Asegurar mi aplicación de escritorio con ssl

#1 de Spencer Doak (2 votos)

2

Tengo una aplicación de escritorio que se sincroniza con una base de datos en http://XXX.XXX.XX.XX:5984 . He habilitado toda la seguridad del lado del servidor que tengo disponible y también quiero configurar la aplicación de escritorio para que se sincronice a través de SSL https://XXX.XXX.XX.XX:6984 , de modo que si un usuario tiene la aplicación en su computadora portátil y se sincroniza mediante una conexión pública, sus datos están encriptado.

Lo configuré con un certificado autofirmado en el servidor y lo probé en la línea de comandos con lo siguiente, pero recibo este aviso:

curl https://XXX.XX.XX.XXX:6984

More details here: http://curl.haxx.se/docs/sslcerts.html

curl performs SSL certificate verification by default, using a "bundle"
 of Certificate Authority (CA) public keys (CA certs). If the default
 bundle file isn't adequate, you can specify an alternate file
 using the --cacert option.
If this HTTPS server uses a certificate signed by a CA represented in
 the bundle, the certificate verification probably failed due to a
 problem with the certificate (it might be expired, or the name might
 not match the domain name in the URL).
If you'd like to turn off curl's verification of the certificate, use
 the -k (or --insecure) option.

Ya que soy el propietario del servidor y es una dirección IP directa a un puerto. ¿Al desactivar la verificación del certificado ( curl -k https://XXX.XX.XX.XXX:6984 ), mis datos se enviarán sin cifrar?

tls openssl ssl-interception

pregunta jtlindsey 17.08.2016 - 03:13

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls openssl ssl-interception

¿Qué es el lado del cliente que no es DOM XSS? Usando los últimos cuatro dígitos del número de Seguro Social como contraseña

score 2 · Accepted Answer

Desactivar la verificación no significa que los datos se envíen sin cifrar. Los datos aún se enviarán a través de HTTPS (una conexión SSL / TLS), pero la validez del certificado del servidor no se verificará con la autoridad de certificación que emitió el certificado.

En su caso, como usted mismo firmó el certificado, debe deshabilitar la verificación de verificación. Su certificado no puede ser validado / verificado por una autoridad emisora de certificados, ya que su certificado no es emitido por una autoridad certificadora. Ergo, deberías deshabilitar la verificación de verificación. Los datos aún se enviarán encriptados, pero esto por supuesto presenta algunos problemas de seguridad, ya que un atacante MiTM inteligente podría presentar un certificado falso para que lo use el cliente. Como tal, recomendaría obtener un certificado emitido por una CA, pero si desea quedarse con su boleto autofirmado, simplemente deshabilite la verificación de verificación.