Forum d'entraide PHPFrance

encore et toujour, bonjour tous le monde

J'aimerai utiliser un tunnel pour certains formulaire de mon site afin que les données transitant entre le server et le client soit cryptées.

pour ce faire, deux oportunnité s'offre à moi: TLS ou SSH...

J'aimerai utiliser l'un de ces deux protocole mais je n'est encore rien trouver sur la mise en place de tel procedé.

Les seuls imperatifs pour moi sont la gratuité d'utilisation, la performance, la simplicité et la légerté de mise en place.

(je tient à précisé que mon hébergeur ne propose que du SSH mais sur une formule hors de prix pour moi à l'heure actuel)

si certaint d'entre vous ont un p'tit lien vers un tuto ou une experience à partager, je serai comblé

merci d'avance.

Bonjour,

Et un serveur HTTPS, ne coviendrait-il pas?

je viens de trouver certaine explication chez un autre hébergeur.

en fait SSH est destiner à linux afin d'avoir un acces securisé depuis linux vers le server ftp. C'est un genre de connection ftp securisé pour linux (donc aucun rapport avec ce que je cherche à faire)

SSL est un tunnel fonctionnant via des certificats payant (env 7€/mois) mais qui conviendrai à ce que je veut faire (sauf qu'il est payant )

pour ce qui est de https, je fait encore mal la difference àvec SSL car je vois pas trop la difference. Mais je suis prèsque sur que ce dernier est gratuit et qu'il conviendrai aussi tres bien pour chiffré les info entre mon site et les clients)

donc si quelqu'un peut me renseigner sur https (mise en place, ...)

Re,
Si tu as un serveur Linux/Unix tu peut générer toi-même tes certificats SSL et HTTPS sans souci.

HTTPS (avec S pour secured, soit « sécurisé ») est la variante de HTTP basée sur les protocoles SSL ou TLS. Il permet au visiteur de vérifier l'identité du site auquel il accède grâce à un certificat d'authentification. Il permet également de chiffrer la communication. Il est généralement utilisé pour les transactions financières en ligne : commerce électronique, banque en ligne, courtage en ligne, etc.

Le HTTPS utilise le port 443 par défaut. La RFC 2818 définit le protocole HTTPS.

Voir aussiSSL

@ Ajoloca: mon héberger m'a dit que les certificat SSL était indisponible depuis les server mutualisé.

Pourtant c'est bien du linux...

pense tu qu'il y ai quand même moyen d'utilisé https?

Re,
Sans un certificat, des questions du style

Le certificat, ....., ne peut être vérifié, voulez vous continuer ?

seront posées par le navigateur à l'utilisateur, ce qui fait pas très sérieux.

en fait du peut que je vient de lire sur la RFC 2817 et RFC 2818, pour passer à https, il suffie d'associer en quelque sorte le nom de domaine au port 443 au lieu du 80 (http)

un fois que cela est fait, les donnée sont alors chiffré mais aucune autentification n'est faite car aucun certificat n'est mis en place

ensuite on génère ou l'on achete un certificat SSL ou TLS (plus securiser mais à partament encore mal supporter des navigateur).

c'est ça?

et pour ce qui est de mon hébergeur qui ne supporte pas l'hebergement de certificat SSL, y a t'il moyen dans génèrer quand même?

Re,

Moi, dans mon serveur (pas d'hébergeur) j'ai pu générer le certificat sans souci, à l'installation de SSL il m'a demandé si je voulait générer un certificat, j'ai juste répondu oui et ça marche. Une autre façon simple de les générer est en utilisant 'webMin'. Ce que je ne sais pas c'est si les certificats générés sur une machine sont valables sur une autre. Et si oui, comment les mettre en place.

Eclaircissons les choses

SSH : c'est un protocole d'encryption permettant d'accéder au shell de manière sécurisée (administration à distance). "Accessoirement", on peut ouvrir des "tunnels SSH". Une fois le tunnel SSH ouvert, le client SSH devient serveur relais d'un service distant, les communications entre ce service et le client SSH étant cryptées.

SSL : c'est un protocole d'encryption des données pour le web (HTTPS). Il repose sur deux piliers :
- l'encryption des données (par un système proche du RSA je crois, mais je ne suis pas sûr).
- l'usage des certificats pour authentifier le serveur et/ou le client.

C'est le premier point qui est vital dans la plupart des cas (pour les transactions bancaires), le second ne permet que d'être plus ou moins sûr de savoir à qui on a à faire.
Le certificat est toujours généré, et il est attaché à une et une seule adresse IP pour les serveurs. Ce qui fait qu'un mutualisé ne peut pas offrir d'accès SSL tout simplement car en général plusieurs noms de domaines se partagent la même IP.
Le certificat peut ou non avoir été généré par un tiers-certificateur. C'est cette portion qui est payante : on peut très bien générer son certificat soi-même totalement gratuitement, la sécurité offerte au client sera la même (encryption) mais il n'aura pas la garantie que le serveur auquel il se connecte est bien le tien (phishing ?) et il recevra à chaque connexion une alerte dans son navigateur. Alors que si tu as un certificat généré par un tiers certificateur de façon payante, il n'aura jamais d'alerte, et le jour où il en reçoit une il saura qu'il se fait berner !

J'espère avoir complété tes informations, et ne pas avoir été trop imprécis ni trop confus. Mes connaissances sont générales, donc je peux t'expliquer le principe, après pour la différence entre SSL et TLS je ne saura rien te dire.

Ce que je ne sais pas c'est si les certificats générés sur une machine sont valables sur une autre. Et si oui, comment les mettre en place.

Ben non heureusement, c'est un peu le concept

@Naholyr: regarde du coté du lien vers TLS de mon tous premier post si tu souhaite en savoir un peu plus entre TLS et SSL

sinon encore merci d'avoir éclairci autant de point en suspend

Une question me vient à l'esprit: que faut il faire pour qu'un certificat génèrer soit authentifié au yeux des navigateur?

@Ajoloca: si je comprend bien, sur ton server, le certificat génère l'erreur alors?

Une question me vient à l'esprit: que faut il faire pour qu'un certificat génèrer soit authentifié au yeux des navigateur?

Qu'il aie été certifié par une autorité de certification (autrement appelé tiers certificateur). Il sera alors normalement reconnu valide par le navigateur.
Je ne sais pas très bien comment cette partie fonctionne j'imagine que c'est le même principe d'arborescence que pour les DNS : le navigateur demande à un serveur maître si le certificat est valide, le serveur maître demande à la liste reconnue des tiers certificateurs, et dit oui ou non. Ce n'est que pure supposition je n'ai jamais pris le temps de me renseigner.

en tout cas je n'est pas la chance d'avoir un server perso et n'est pas les moyen pour un dédié.

Donc si quelqu'un a une alternative à me proposer pour chiffrer les transmissions entre certaines de mes pages et les clients