Obsługa HTTPS za pomocą INDY

[Miroo_007]

W jaki sposób można przeglądać pliki https za pomocą biblioteki Indy. Czy są jakieś klasy obsługujące zaszyfrowane strony?

[Cyfrowy Baron]

Co rozumiesz przez przeglądać pliki https?

[wargo]

Chodzi o oglądanie stron przez protokół https (bezpieczne http).

[Miroo_007]

Przeglądać czyli widzieć kod źródłowy strony https. Do tej pory wczytując strony nie szyfrowane używałem instrukcji Get() z biblioteki Indy. Ale gdy wczytuję strony szyfrowane widzę tylko nagłówek (bez treści). W nagłówku znajduje się link do strony z teścia ale jest w formacie http więc to odpada.

[Cyfrowy Baron]

INDY nie oferuje takich bibliotek i dotyczy to wszystkich zadanych przez ciebie pytań na tym forum. To kwestia zabezpieczeń.

[Miroo_007]

Więc jakie biblioteki mogą obsługiwać zabezpieczone strony?

[Cyfrowy Baron]

Środowisko C++ Builder (a w szczególności wersja Personal) nie oferuje takich bibliotek. Nie sądzę również, żeby takie biblioteki występowały w darmowej wersji. Musisz poszukać w serwisach internetowych zajmujących się tą tematyką, ale z tego co się orientuję to będziesz zmuszony wnieść niemałe opłaty za takie biblioteki, przy czym jest równe mało prawdopodobne, żeby występowały w formie komponentów.
Jeżeli znasz dobrze te protokoły sieciowe i masz dostęp do certyfikatów to zawsze możesz pokusić się o samodzielne stworzenie takich bibliotek.

[Miroo_007]

Jest pewien sposób żeby to obejść. W zabezpieczonej stronie https znajduje się link do treści tej strony ale w formacie http. Więc mogę wchodzić do https - pobierać link http i w ten sposób mogę dostać tą zabezpieczoną stronę. Ale jest mały problem. Nie wiem czy serwer, z którym będę się łączył kilkaset razy na dzień nie wyda się to podejrzane.

[Miroo_007]

"INDY nie oferuje takich bibliotek i dotyczy to wszystkich zadanych przez ciebie pytań na tym forum. To kwestia zabezpieczeń"

Małe sprostowanie. Indy 9 oferuję obsługę SSL. Nie wiem na jakiej podstawie to wywnioskowałeś.

[Cyfrowy Baron]

Małe sprostowanie. Indy 9 oferuję obsługę SSL. Nie wiem na jakiej podstawie to wywnioskowałeś.

Na podstawie Twoich wypowiedzi. Wywnioskowałem z nich, że nie poszukujesz protokołu SSL. lecz kontrolki w rodzaju TCppWebBrowser, gdyż napisałeś:

Chodzi o oglądanie stron przez protokół https (bezpieczne http).

czyli pytałeś o protokół HTTPS, a nie o protokół SSL. Te protokoły są oczywiście ze sobą powiązane, ale SSL służy do bezpiecznej transmisji zaszyfrowanego strumienia danych. Protokół HTTPS szyfruje tekst za pomocą technologi SSL w komunikacji klient-serwer. W odróżnieniu od zwykłego HTTP w HTTPS najpierw następuje więc wymiana kluczy SSL, a dopiero później żądanie HTTP.

Nie pytałeś o szyfrowaną transmisję danych, lecz o wyświetlanie stron i tutaj INDY nie ma żadnej kontrolki, która mogłaby realizować takie wyświetlanie na podobieństwo TCppWebBrowser.

[Miroo_007]

Nie chodzi mi o wyświetlanie stron tylko o to żeby mieć możliwość podglądu kodu https za pomocą Indy. Kontrolka TCppWebBrowser z tego co wiem to ma ograniczone możliwości. Nie użyłem słowa "wyświetlać strony" tylko "przeglądać pliki https".
Więc reasumując. Muszę się zająć bliżej problemem SSL aby przeglądać kod https. Ale dlaczego w kodzie https znajduje się link do treści strony w formacie http? Każdy może odczytać ten link i bez problemu oglądać strony zabezpieczone.

Dzięki za odpowiedź odnośnie książek na temat Indy. Właśnie tego szukałem.

[Cyfrowy Baron]

Ale dlaczego w kodzie https znajduje się link do treści strony w formacie http?

Ponieważ w odróżnieniu od zwykłego HTTP w HTTPS najpierw następuje więc wymiana kluczy SSL, a dopiero później żądanie HTTP.
https przed adresem strony jest informacją dla przeglądarki, że łączy się ze stroną zawierającą szyfrowaną zawartość.

[Miroo_007]

OK. Jeżeli następuje wymiana kluczy SSL skąd ja mam go dostać i wysłać na serwer? Masz jakieś materiału o tym temacie?

[Cyfrowy Baron]

Jesteś osobą prywatną, a nie podmiotem gospodarczym, więc prawdopodobieństwo uzyskania przez Ciebie certyfikatu X.509 jest niemal równe zeru. Gdyby każdy użytkownik miał dostęp do certyfikatów zabezpieczeń, to przestały by być one bezpieczne.

Poczytaj sobie tutaj: http://www.securitystandard.pl/news/107001/Po.co.nam.SSL.html

Kluczy to chyba nie potrzebujesz, serwer z którego pobierasz stronę do przeglądania zawiera już taki klucz i przeglądarka pobiera do do deszyfrowania strony poprzez protokół SSL, ale w ten sposób można wyświetlić zawartość serwisu - zdeszyfrowaną, a potem podejrzeć taką zawartość, jednak nie można podejrzeć strony przed deszyfrowaniem, nie możesz też jej pobrać na dysk zaszyfrowanej i zdeszyfrować tam wg. potrzeb, gdyż nie masz klucza. Klucza do deszyfrowania nikt tobie nie udostępni.
Bez znajomości klucza sieciowe mechanizmy kontrolujące ruch nie są w stanie podejrzeć zawartości zabezpieczonych kanałów SSL, SSH. Biorąc pod uwagę obecne osiągnięcia w dziedzinie kryptografii, łamanie kluczy mogłoby trwać wiele tygodni.

[Miroo_007]

Wydaje mi się że nie potrzebuje certyfikatu SSL jeżeli korzystam z wininet.lib. Wywnioskowałem to z tego linka: http://www.forum.webhelp.pl/viewtopic.php?p=228847