S + Webbrowser + Dienst

[romy]

Hallo,

Ich habe eine Webanwendung, welche SSL-geschützt ist. Der normale Zustand wäre also ich gehe mit dem Browser auf meine Domain und alles ist gut. In diesem Fall würde ich eine https-Seite öffnen und das Zertifikat, welches ich ja habe, würde verifiziert vom Browser.
Aber: ich habe eine Webanwendung, welche eine cryptografische Komponente enthält und deswegen geht der Browser nach localhost, dort läuft ein Programm, welches nun die Requests per SSL an den Webserver weitergibt und auch empfängt. Das wäre an sich auch kein Problem, denn wenn ich das Programm über den Browser nur per http anspreche.
ABER: Ich möchte den Kunden gern anzeigen, dass es eine sichere Verbindung ist, in dem Fall muss ich also eine gesicherte Verbindung zu localhost aufbauen, was nicht geht.

Natürlich könnte man einmalig das Zertifikat installieren, aber im Firefox z.B. wird man mittlerweile derart gewarnt, dass solche "falschen" Zertifikate niemals von Banken kommen können.

Ich weiß nicht, ob ich es verständlich machen konnte. Vielleicht bin ich gedanklich ja auch auf einem Holzweg und ich kann einem Kunden durchaus erklären, was wir da machen und er würde halt einfach im Browser keinen Hinweis auf eine gesicherte Verbindung sehen, stattdessen erklären wir ihm, dass es trotzdem so ist.

Hat jemand ähnliche Erfahrungen gemacht, gibt es andere Programme, die diese Problematik haben? Wie würdet ihr das lösen?
Ich habe gegoogled, aber nur private Probleme gefunden, die damit gelöst werden, dass Zertifikat hat einmal zu installieren unabhängig von der Meldung.

ciao
romy

[josh]

Hallo,

Also bei dieser Anwendung wird eine Art Proxy auf dem Rechner des Kunden installiert, der von localhost HTTP-Requests annimmt und dann diese mit eigener Verschlüsselung ausliefert und das Ergebnis empfängt?

Zunächst einmal kann sich der Proxy bemerkbar machen, dass er aktiv ist (Windows-Tray, evtl. Browser-Erweiterung*). Dies in Verbindung mit der Adresse, die der Kunde in seinem Browser eingibt (nämlich localhost plus einen bestimmten Port) sollte als "Nachweis" der sicheren Verbindung genügen.

Vor Keyloggern etc. ist das ganze natürlich nicht geschützt.

Darf ich fragen, warum du ein spezielles Verschlüsselungssystem einsetzst?

Gruß

(*) Beides nicht optimal, ich weiß ;-)

[romy]

Hi josh,

Also bei dieser Anwendung wird eine Art Proxy auf dem Rechner des Kunden installiert, der von localhost HTTP-Requests annimmt und dann diese mit eigener Verschlüsselung ausliefert und das Ergebnis empfängt?
Zunächst einmal kann sich der Proxy bemerkbar machen, dass er aktiv ist (Windows-Tray, evtl. Browser-Erweiterung*). Dies in Verbindung mit der Adresse, die der Kunde in seinem Browser eingibt (nämlich localhost plus einen bestimmten Port) sollte als "Nachweis" der sicheren Verbindung genügen.

Ja, leider nur als Nachweis für einen technisch versierten Benutzer, aber unser Klientel achtet auf Dinge, wie "Schloss in der Statuszeile".

Vor Keyloggern etc. ist das ganze natürlich nicht geschützt.

Das verstehe ich nicht, in welchem Zusammenhang?

Darf ich fragen, warum du ein spezielles Verschlüsselungssystem einsetzst?

Ja, es ist ein Elektronic Banking Programm, welches Schlüsselmedien[1] einsetzt. Das Schlüsselmedium ist aber nicht über die Webseite ansprechbar (außer vielleicht über ActiveX oder ähnlichem Schmodder), deswegen die Komunikation über den Dienst. Das Browserfenster ist quasi "nur" die Oberfläche.

ciao
romy

[1] Smartcards, USB-Token, etc. je nach Sicherheitsstufe.

[josh]

Hallo,

Vor Keyloggern etc. ist das ganze natürlich nicht geschützt.
Das verstehe ich nicht, in welchem Zusammenhang?

Naja, war nicht ganz passend ;-) Mein Gedanke war, dass auch ein zusätzliches Verschlüsselungsprogramm gegen solche Angriffsmöglichkeiten nicht gefeit ist. Bei

[1] Smartcards, USB-Token, etc. je nach Sicherheitsstufe.

muss man aber natürlich auf ein zusätliches Programm zurückgreifen.

Zurück zum eigentlichen Problem: Es muss wohl ein Browserplugin sein, wenn um es einfache Erkennbarkeit geht. Ein kleines Symbol, eben wie das von dir erwähnte Schloss, an einer gut sichtbaren Stelle. Es sollte aber vom Standard-SSL-Symbol unterscheidbar sein.
Zur Umsetzung für die verschiedenen Browser kann ich leider nichts sagen - ich wünsche nur viel Spaß :-P

Gruß