JavaScript SSL Workaround Javascript/Ajax

Hi,

Ich habe eine kleine Website, bei der man sich über ein Passwort anmelden muss. Ein Zertifikat habe ich mir nicht gekauft und habe es erst mal auch nicht vor. Sicherheit ist auch nicht so wichtig, sensible Daten kann man auf der Seite nicht veröffentlichen.
Dennochwäre es mir lieber, wenn das Passwort und der Benutzername verschlüsselt übertragen würden. Der Vorgang einer SSL Verbindung ist ja nun so schwierig nicht:
Authentifizierung des Servers über ein Zertifikat, Initiierung eines gemeinsamen Geheimnisses, Schlüsselaustausch, Datenübertragung
Sicher ließe sich das mit Hilfe von php und Ajax programmieren, oder?
Bei einem nicht signiertem Zertifikat ist eine Identifizierung des Servers natürlich nicht möglich, Man in the middle Angriffe möglich und man kann es somit auch gleich weglassen. Aber wenigstens der Aufbau eines gemeinsamen Geheimnis und die verschlüsselte Datenübermittlung müsste doch möglich sein, sodass nicht jedes Scriptkid im Starbucks mit einem Wireshark die Passwörter mitlesen kann.

Jemand ne Idee?

Vielen Dank für eure Hilfe

PS: Der Kauf eines Zertifikats ist keine Option. Bin bei einem Webhoster, da kann ich keine nicht signierten Zertifikate benutzen, außerdem möchte ich die 'Diese Seite ist nicht sicher' - Meldung nicht haben.

lordg2009 schrieb:

Jemand ne Idee?

Zum Vergrößern anklicken....

Hol dir ein Zertifikat von Lets Encrypt oder Start SSL (beide kostenlos) und hör auf mit dem Firlefanz einer eigenen Implementierung, ganz einfach.

Natürlich kannst du eine Verschlüsselung clientseitig selbst mit JS implementieren... Aber... Das Ding hat im Endeffekt mehr Lücken als jede bereits existierende Implementierung und ist somit anfällig.

Bin bei tecspace, da kann man wohl keine eigenen Zertifikate einspielen.

Wenn du mit Javascript - oder überhaupt mit Formularen - arbeitest wirst du um HTTPS nicht herumkommen, wenn du die Kommunikation absichern möchtest.

Klar kannst du dir ein schönes Konstrukt ausdenken, wie du Schlüssel austauscht um dann mit dem Backend zu kommunizieren. Aber am Ende lohnt dieser Aufwand nicht, denn den Quellcode o. den Schlüssel kann "jeder" einsehen und "abfischen".

Das wird dort sicherlich auch gehen. Ich hab u.a. noch Webspace bei all-inkl (über den Root bei Hetzner hab ich ja selbst die Kontrolle) und dort muss ich nur dem Support schreiben, sodass sie mir mein SSL Zertifikat hinterlegen. Die Einrichtung kostet allerdings nen Obulus.

Das stimmt wohl, mal schauen, ob die das machen. Wie verschickt man Zertifikate auf den üblichen Wegen sicher?

Indem du das Zertifikat per SFTP (oder sonst wie verschlüsselt) hochlädst und dem Support den Pfad zum Zertifikat mitteilst.

Danke