Secure Websocket (WSS) mit selbstsigniertem Zertifikat auf anderer IP möglich?

[Darry]

Hi.

Mich würde mal interessieren, ob es möglich ist, die Webseite per HTTP auszuliefern, aber trotzdem eine verschlüsselte Websockets Verbindung zu nutzen.
Und zwar, ohne dass beim User eine Warnmeldung wegen einem selbst signierten Zertifikat aufploppt.

Und dann noch die Zweite Frage:

Kann ich mit der eigentlichen Webseite zu einem normalen Shared Webhosting Provider gehen (Sicherheit, Verfügbarkeit) , die WSS Verbindung aber auf einen anderen Server machen?
Oder fällt Websockets auch unter die Same Origin Policy?


Worum gehts?
Für das was ich vorhabe, sind die gängigen preisgünstigeren Webhosting Pakete leider ungeeignet oder ich würde zumindest deutlich gegen die AGB verstoßen. Die Pakete, die es ermöglichen sind finanziell aber deutlich zu teuer.

Ich will aber auch nicht die komplette Seite selber hosten, auf einem vServer, obwohl das finanziell attraktiv wäre. Da der Betrieb eines kompletten Hostingservers auch mit gewissen Risiken und Aufwand verbunden ist. Eine komplette Hostingumgebung auf vServer selber aufsetzen und ausreichend sicher zu betreiben, das traue ich mir noch nicht zu.


Das heißt: Die Domain soll auf ein handelsübliches Webhosting Paket aufgeschaltet werden. Damit ist dann schonmal der Hoster im DNS drin und der nach außen direkt sichtbare Web- Mail- und Datenbankserver laufen da.
Alle statischen und "semi-Statischen" Inhalte (PHP Teil der Seite der für die Anzeige des Contents verantwortlich ist) und Bilder und die Datenbank sollen da dann liegen.

Die ganzen "Scriptkiddies" und "Bots" laufen also erstmal beim Webhoster auf und nicht auf meinem Server.

Nur den Websocket Teil, sprich die eigentliche, Chatkommunikation, wollte ich dann selbst hosten. (Da die AGB des Hosters den Betrieb von Chat- und Messenger- Diensten und ähnliche "Echtzeitanwendungen" auf Shared Hosting verbietet und "Dediziertes Hosting" bzw "Manged Services" mir zu teuer sind.)

Die IP meines Servers würde man zwar durch die Analyse des Seitenquellcodes herausbekommen, aber das ist dann gut genug verschleiert. Und je weniger auf dem vServer läuft, desto geringer ist ohnehin das Risiko dass irgendwo ein Loch ist.


LG

 

[tsseh]

Und zwar, ohne dass beim User eine Warnmeldung wegen einem selbst signierten Zertifikat aufploppt.

nein

Kann ich mit der eigentlichen Webseite zu einem normalen Shared Webhosting Provider gehen (Sicherheit, Verfügbarkeit) , die WSS Verbindung aber auf einen anderen Server machen?
Oder fällt Websockets auch unter die Same Origin Policy?

du musst idr. sowieso einen anderen port nutzen

 

[Darry]

nein

du musst idr. sowieso einen anderen port nutzen

Danke. Ja das mit dem anderen Port kommt oft vor.
Dann kann man das ja ganz gut machen, nen 0815 Webhosting bei Strato oder co. zu nehmen und für 2,99 Euro noch nen kleinen vserver dazu zu nehmen, auf dem man dann die Sachen macht, die auf dem Shared Hosting nicht möglich oder unerwünscht sind.

Eventuell müsste man beim Webhosting irgendwas nehmen, wo von php aus Zugriffe auf externe Server erlaubt sind (cURL / fopen) und DB Zugriffe von außerhalb erlaubt sind, um den vServer schön hinter dem Webhosting zu verstecken damit er nicht in vorderster Front direkt offensichtlich auftaucht.
Klar, vor richtigen Angreifern schützt das auch nicht, aber die Scriptkiddis und Bots könnte man schon mal etwas vom vServer fernhalten.

Nur mit dem SSL Zertifikat müsste man dann schauen wie man das günstigst hin bekommt. So eine Sicherheitswarnung finde ich immer etwas unschön, da es die User verunsichert. Dann lieber komplett unverschlüsselt.