La sicurezza è importante ed ogni web master che si rispetti o qualsiasi persona abbia un sito web è bene che utilizzi il protocollo HTTPS per mettere in sicurezza i dati degli utenti dai malintenzionati. Ovviamente l’HTTPS può anche essere abbinato ad una connessione crittografata tramite il protocollo TLS acronimo di Transport Layer Security o l’SSL (Secure Sockets Layer).

Ovviamente per avere la connessione crittografata dovete possedere un certificato digitale valido e potete ottenere un certificato HTTPS gratuito (SSL/TLS) registrandosi al servizio Let’s Encrypt. Let’s Encrypt.

In questo articolo andremo a vedere come registrare ed ottenere un certificato HTTPS gratuitamente.

Creare il proprio certificato SSL/TLS con Let’s Encrypt ed usarlo su Windows Server

Il servizio Let’s Encrypt permette di ottenere il certificato gratuitamente ed è possibile utilizzarlo su server Linux facilmente ma tramite la nostra guida potete ottenere un certificato da usare per IIS su Windows Server.

Iniziamo scaricando il programma LetsEncrypt-Win-Simple senza effettuare alcuna registrazione cliccando QUI. Una volta scaricato estraiamo l’archivio LetsEncrypt-Win-Simple sul server, ad esempio in C:\Cert.

2) Avviamo LetsEncrypt-Win-Simple

Apriamo il prompt di Windows (CMD in tutti i programmi e poi click destro Avvia come amministratore). Poi andiamo nella cartella C:\Cert e scriviamo letsencrtypt e diamo Invio. Scriviamo il nostro indirizzo mail necessario per ricevere le comunicazioni di scadenza e rinnovo del certificato, accettare le condizioni selezionando Y ed infine indicare il sito web dove verrà caricato il certificato. Scriviamo www.yourlifeupdated.net. Con un invio il certificato sarà creato in una sottocartella.

QUI Do you want to specify the user the task will run as? rispondete Y. Ed in automatico LetsEncrypt-Win-Simple provvederà a configurare in Windows Server un’operazione pianificata per il rinnovo automatico del certificato digitale tramite il Task Scheduler.

3) Verifichiamo la configurazione HTTPS del nostro sito

Andiamo nell’IIS Manager di Windows Server, selezioniamo la voce Bindings nella colonna di destra, e vediamo se è indicata la porta 443 (HTTPS). Selezioniamo Edit su HTTPS e poi su View e vediamo se c’è il certificato Let’s Encrypt.

4) Installare URL Rewrite di IIS e attivare il redirect automatico da HTTP a HTTPS

Il penultimo passaggio è l’installazione dell’estensione Microsoft URL Rewritescaricandola da QUI. Una volta scaricata dovrete copiare la cartella nella cartella del sito web ed infine modificare il file web.config inserendo prima della tag</system.webServer> il codice seguente:

<rewrite>
<rules>
<rule name=”HTTP Redirect to HTTPS” enabled=”true” stopProcessing=”true”>
<match url=”(.*)” ignoreCase=”false” />
<conditions>
<add input=”{HTTPS}” pattern=”off” />
</conditions>
<action type=”Redirect” url=”https://{HTTP_HOST}/{R:1}” appendQueryString=”true” redirectType=”Permanent” />
</rule>
</rules>
</rewrite>

8) Riavviare il server Windows

Riavviamo il server Windows per vedere la modifica attivata.

The post Come ottenere un certificato HTTPS (SSL/TLS) gratis appeared first on TecnoGuide.

Il bug di OpenSSL, “Heartbleed”, ha ricevuto una grande attenzione da parte dei media. Anche se siamo ormai abi-mati ad allarmismi per la più piccola falla in qualche programma, lleartbleed si merita il clamore che ha suscitato. A causa di tale vulnerabilità è possibile, per un pirata che abbia abbastanza tempo a disposizione, scoprire la chiave privata di un server HTTPS.

Facciamo qualche passo indietro: HTTPS è la versione sicura di HTTP, il protocollo del Web. Tutte le comunicazioni su HTTPS vengono crittogra-fate con OpenSSL, quindi se anche qualcuno stesse intercettando la nostra linea Internet non potrebbe leggere ciò che stiamo scrivendo. Per tale motivo HTTPS è utilizzato soprattutto quando l’utente deve inviare la propria password di accesso a un sito. La crittografia si basa su due chiavi: una pubblica, che possono conoscere tutti, e una privata, nota solo al server. Quella pubblica è utilizzata per cifrare il testo, mentre quella privata per decifrarlo. In questo modo, chiunque può inviare informazioni crittografate al server HTTPS, ma solo lui può leggerne il contenuto. Il problema è che il bug Heart-bleed consente a un pirata la lettura della chiave privata di un server, permettendogli quindi di leggere in chiaro ciò che gli utenti stanno scrivendo. Per esempio: se un pirata conosce la chiave privata di Facebook e noi stiamo utilizzando questo social network, il pirata può intercettare il nostro traffico Internet e leggere tutto ciò che inviamo al server stesso, inclusa la password. Di questo bug hanno sofferto per quasi due anni i principali siti del Web: ormai, tutti hanno corretto la vulnerabilità, ma qualche pirata potrebbe comunque essere riuscito a scoprire la nostra password prima che il gestore del sito correggesse il problema in OpenSSL. L’unico modo che abbiamo per proteggerci, quindi, consiste nel cambiare le password. Per fortuna, Heartbleed non ha colpito siti come PayPal, Amazon, o eBay, sui quali solitamente gira molto denaro. Che cosa sarebbe successo se anche Facebook, che è stato vulnerabile a questo bug, avesse avuto un accesso alla nostra carta di credito? La domanda nasconde una preoccupazione più che legittima, perché sembra che Facebook voglia proprio lanciare un servizio di gestione di monete virtuali. Qualcuno lo chiama, in via ufficiosa, “Facebank” e probabilmente sarà un sistema simile a PayPal per lo scambio di denaro virtuale tra persone. Se tale servizio fosse già stato implementato, molti pirati avrebbero potuto facilmente sfruttare il bug Heartbleed per svuotare la carta di credito degli utenti del social network. Ecco perché la sicurezza in Rete deve sempre avere la massima priorità!

Facebook Heartbleed

Il cambio di password in Facebook può essere eseguito dal menu Impostazioni (si clicca sull’icona a forma di ingranaggio). Nella scheda Generale, che viene immediatamente aperta, è sufficiente cliccare sul link Modifica posto vicino al campo Password per far apparire il forni che consente l’inserimento di una nuova chiave. Per sicurezza, è richiesta anche l’attuale parola d’ordine, per verificare l’effettiva identità di chi si trova davanti al computer.

Yahoo Heartbleed

Per modificare la password dell’account Yahoo Mail è sufficiente recarsi sul pannello di impostazioni di Yahoo raggiungibile anche con un clic sull’icona a forma di ingranaggio. La voce Change you password, nella sezione Sign-ln and security, consente l’inserimento di una nuova chiave di sicurezza.

Google Heartbleed

Nonostante il sistema di login di Google sia stato protetto da Heartbleed, sembra comunque che alcuni servizi Google utilizzassero una versione di OpenSSL vulnerabile. Per precauzione, quindi, conviene comunque cambiare la password: basta cliccare sull’apposita icona a forma di ingranaggio e scegliere la voce Impostazioni. Poi, nella sezione Account e Impostazioni si deve cliccare sul link Cambia password.

Wikipedia Heartbleed

Se hai un account Wikipedia, ti conviene modificare la password di accesso, prima che qualcun altro cominci a postare articoli a tuo nome (e magari essere dannati per divulgazione di false notizie). In questo sito, una novità: nessuna icona a forma di ingranaggio! Si deve, invece, cliccare sul link preferenze vicino al proprio nome utente e, nella pagina che si apre, scegliere l’indirizzo Cambia password.

The post Heartbleed: il bug più pericoloso del Web appeared first on TecnoGuide.