NemID, kryptering, cpr nr og ssl forbindelse

Hej

Har en side hvor jeg gerne ville kunne validere mine brugere. Det har jeg fundet ud af at det kan gøres med NemID. Men NewID vil kun give mig en såkaldt PID som man så kan køre op mod et indtastet CPR nr, og så få en true/false tilbage. Jeg fik at vide at jeg ikke behøvede en kryptering her. Kan det passe?!

Så tænker jeg om det er nok at nøjes med dette "true". I princippet kan folk jo ændre hele deres profil derefter og derved stå som valideret men i virkeligheden er hele profilen lavet om. Så tænkte jeg om man skulle gemme det gamle indtastede CPR nr. Skal bruge det til at udbetale penge til dem, og har fået at vide at SKAT at det er vores ansvar at vi har indberetningspligt på hvem vi sender penge

Ja men som du måske kan se, så har jeg ikke forstand på hvad jeg har brug for. Jeg har alle dage bare troet at SSL vare var en krypteret forbindelse. Vidste ikke der var forskellige slags osv. Så hvad skal man bruge i dette tilfælde? :) 

DesignMonkey:

Men NewID vil kun give mig en såkaldt PID som man så kan køre op mod et indtastet CPR nr, og så få en true/false tilbage. Jeg fik at vide at jeg ikke behøvede en kryptering her. Kan det passe?!

Ja det kan godt passe. Grunden er at det PID du får er koblet op på det CPR som brugeren har indtastet hos NemID når de bruger det på din side første gang. Du skal så blot bruge det som reference mod NemID når du skal vide om brugeren stadig "lever".

DesignMonkey:

I princippet kan folk jo ændre hele deres profil derefter og derved stå som valideret men i virkeligheden er hele profilen lavet om.

Nu ved jeg ikke  hvilke info du kan få via deres NemID eller hvad man angiver i sin profil hos dig, men du har jo altid referencen til deres CPR nummer i PID nøglen.

DesignMonkey:

Så tænkte jeg om man skulle gemme det gamle indtastede CPR nr.

Nej det mener jeg ikke at du behøver. Ved at bruge NemID så får du ikke adgang til deres CPR nummer men blot en refence til det hos NemID.

DesignMonkey:

Skal bruge det til at udbetale penge til dem, og har fået at vide at SKAT at det er vores ansvar at vi har indberetningspligt på hvem vi sender penge

Igen kan jeg referer til PID som via NemID giver en unik reference til hvem I udbetaler penge til. Men snak med Skat om det er ok med den reference.

DesignMonkey:

og derved er det jo ret vigtigt at vi bruger det rigtige CPR nr.

Eller en unik reference.

DesignMonkey:

Ja men som du måske kan se, så har jeg ikke forstand på hvad jeg har brug for. Jeg har alle dage bare troet at SSL vare var en krypteret forbindelse. Vidste ikke der var forskellige slags osv. Så hvad skal man bruge i dette tilfælde? :) 

Helt reelt er jo, SSL er bare en krypteret forbindelse, der er forskel på certifikater, de billigere, SSL-certifikater er 'kun' supportet af 99.x% af alle browsere, hvor de dyrer er 100% - Men det er meget sjældent man støder på en browser der ikke understøtter selv de billigste.

Der er også forskel på hvor høj kryptering man kan køre, på forskellige SSL certifikater - Facebook bruger 128 bit kryptering, hvor mange gange kan du faktisk kryptere helt op til 256 bit.

Udover det, er der også noget med garanti, på hvor meget erstatning der er, hvis krypteringen egentligt bliver brudt osv. så for de fleste mennesker er de billige nok, for andre er de dyrer krævet, men der er også forskel på, om det er et domæne, flere domæner, eller et wildcard du skal beskytte (wildcard er at du fx. kan have example.domain.com, og www.domain.com, og domain.com beskyttet på samme certifikat).

Men hvis du skal bruge SSL, så burde de billigere være helt OK!

zerpex:

Men hvis du skal bruge SSL, så burde de billigere være helt OK!

Og så fungerer det "bare" sådan at når man sender noget med HTTP POST så bliver det krypteret og kan ikke opsnappes af nogen form for package sniffers!? :) 

zerpex:

Altså først og fremmest skal certifikatet installeres på siden selvfølgelig, men derefter skal alt trafik peges til SSL, derefter vil trafikken mellem den besøgende og serveren være fuldt krypteret

Hehe, ja undskyld min uvidenhed. Behøves hele siden være krypteret? Havde egentlig bare troet at man slog om på krypterede sider når man skulle bruge det?! :) Og hvordan installeres SSL på siden? Skal det ind i IIS'en eller i header eller hvordan? :) 

Du kan sagtens kryptere enkelte sider, og når det skal installeres gøres det gennem IIS'en f.eks. (Kender ikke så Meget til IIS så ved ik hvordan man gør).

Man ja det er decideret et certifikat du installere på serveren for den specifikke hjemmeside