Webbrowser und SSL

[Bernhard Geyer]

Ich verwende eine TWebbrowser-Instanz welche ich mit lokalen Daten einer Webserver-Instanz (ICS-Komponenten mit SSL) versorgen will. Da die Kommunikation über HTTPs/SSL laufen soll ist ein Zertifikat nötig. Da die Kommunikation nur lokal abläuft (über localhost bzw. 127.0.0.1) will ich mir die Kosten für ein richtig bestätigten Zertifikates sparen. Jedoch kommt von TWebBrowser eine Sicherheitswarnung. Für meine Zwecke will ich jedoch diese Sicherheitsmeldung unterdrücken, da ich ja weis das hier kein vollständig gültiges Zertifikat eingesetzt wird und für den Endanwender ja auch keine Sicherheitsgefahr besteht.

Besteht also die Möglichkeit die Sicherheitswarnung für meine IE-Instanz zu unterdrücken?

[Basilikum]

weshalb muss denn überhaupt httpS verwendet werden ? wer den localhost-Traffic sniffen kann, kann auch vom Bildschirm einen Screen-Shot erstellen...

ein möglicher Ansatz wäre, die selbstgestrickte CA in die Liste der vertrauten Herausgeber aufzunehmen...

[Union]

Zitat von Bernhard Geyer:

Ich verwende eine TWebbrowser-Instanz welche ich mit lokalen Daten einer Webserver-Instanz (ICS-Komponenten mit SSL) versorgen will. Da die Kommunikation über HTTPs/SSL laufen soll ist ein Zertifikat nötig. Da die Kommunikation nur lokal abläuft (über localhost bzw. 127.0.0.1) will ich mir die Kosten für ein richtig bestätigten Zertifikates sparen. Jedoch kommt von TWebBrowser eine Sicherheitswarnung. Für meine Zwecke will ich jedoch diese Sicherheitsmeldung unterdrücken, da ich ja weis das hier kein vollständig gültiges Zertifikat eingesetzt wird und für den Endanwender ja auch keine Sicherheitsgefahr besteht.

Besteht also die Möglichkeit die Sicherheitswarnung für meine IE-Instanz zu unterdrücken?

HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\WarnonBadCertRecving
Dieser Eintrag entspricht der Einstellung Internetoptionen - Erweitert - Sicherheit - Bei ungültigen Sitezertifikaten warnen.
00000000 = Keine Warnung bei ungültigen Sitezertifikaten.
00000001 = Warnung bei ungültigen Sitezertifikaten.

Alternativ kannst Du natürlich auch eine eigene Stammzertifizierungsstelle auf Deinem Rechner einrichten (CertServ.Exe).

[Bernhard Geyer]

Zitat von Basilikum:

weshalb muss denn überhaupt httpS verwendet werden ? wer den localhost-Traffic sniffen kann, kann auch vom Bildschirm einen Screen-Shot erstellen...

Die Dateien sollen möglichst geschützt sein. Und ein Kopieren per Screen-Shot ist um einiges umständlicher als einfach die komplette Datei auf Festplatte zu speichern

Zitat von Basilikum:

ein möglicher Ansatz wäre, die selbstgestrickte CA in die Liste der vertrauten Herausgeber aufzunehmen...

Aber wie? Bin gerade dabei mich etwas mit OpenSSL auseinander zu setzen, aber da scheidert es schon daran, das er seine openssl.cfg-Konfigurationsdatei nicht findet.

Zitat von Basilikum:

HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Internet Settings\WarnonBadCertRecving
Dieser Eintrag entspricht der Einstellung Internetoptionen - Erweitert - Sicherheit - Bei ungültigen Sitezertifikaten warnen.
00000000 = Keine Warnung bei ungültigen Sitezertifikaten.
00000001 = Warnung bei ungültigen Sitezertifikaten.

Ist mir zu gefährlich. Mein Programm setzt diesen Eintrag und stürzt ab - Und schon bekommt der Anwendern nicht mehr mit wenn das Zertifikat bei seinem normalen Surfen nicht mehr passt

Zitat von Basilikum:

Alternativ kannst Du natürlich auch eine eigene Stammzertifizierungsstelle auf Deinem Rechner einrichten (CertServ.Exe).

CertServ.exe hab ich nicht auf meinem Rechner. Und die Lösung sollte auch funktionieren wenn der User keine Admin-Rechte hat (Programm läuft auch von CD).

[Union]

Zitat von BeGe:

CertServ.exe hab ich nicht auf meinem Rechner. Und die Lösung sollte auch funktionieren wenn der User keine Admin-Rechte hat (Programm läuft auch von CD).

Dann musst Du wohl wie in dem vorherigen Beitrag angesprochen, die Seite zu einer Vertrauenszone hinzufügen: IInternetSecurityManager::SetZoneMapping Method . Ich persönlich mag keine Programme, die sowas automatisch machen. Ich würde dafür eher einen Hinweis anzeigen (sowas wie "Tip of the day" bei Programmstart), der dem Benutzer erklärt, wie er die Meldung los wird. Am einfachsten natürlich durch Click auf "Vertrauen" und dann "Speichern in Zertifikatspeicher".