Чому сертифікат відкритого ключа веб-сервера повинен бути підписаний органом сертифікації?

9

Іншими словами, який би був ризик для безпеки непідписання сертифікатів відкритого ключа авторитетами сертифікатів (з точки зору користувача)? Я маю на увазі, дані все ще зашифровані ... Що міг зробити людина в середині з непідписаним сертифікатом?

— Олів'є Лалонде
джерело

Вони можуть генерувати власний сертифікат з точно такою ж інформацією. Як користувач визначає різницю?

— pjc50

@ pjc50: переглядаючи шлях сертифіката. Непідписаний сертифікат матиме шлях до сертифіката. Якщо цей шлях веде до надійного кореня, то сертифікату довіряють, інакше це не так. Звичайно, ви можете самостійно додати додаткові кореневі корені (я це робив для власного СА, щоб я міг легко створювати сертифікати для місцевого використання).

— Річард

13

Призначення SSL при використанні HTTP полягає не просто в шифруванні трафіку, а й у встановленні автентичності того, хто є власником веб-сайту, а також у тому, що хтось готовий вкласти час і гроші на доказ справжності та власності на свій домен.

Це як придбання відносин, а не просто шифрування, а стосунки вселяють або передбачають певний рівень довіри.

Однак, я подібне питання я задав кілька місяців тому, і основна відповідь, яка повернулася, була "SSL - це трохи афера".

— Марк Хендерсон
джерело

Я думав, що сертифікати SSL видаються для IP-адрес, а не для доменів. Навіщо потрібні різні сертифікати для доменів, розміщених на одному IP-адресі? Крім того, на сторінці Вікіпедії на HTTPS зазначається, що можна отримати сертифікати безкоштовно ... Дійсність у CA справді звучить як афера.

— Олів'є Лалонде

2

Серти видаються для доменів. Ніщо не заважає вам створити сертифікат, який підписав самостійно, він просто з’явиться страхітливе попередження (про те, що люди не читатимуть), оскільки браузер не довіряє видавчому сертифікату. Проблема "декількох SSL на одному IP" тут вже багато разів обговорювалася. Ось нитка з хорошою відповіддю serverfault.com/questions/73162/…

— Zypher

Спасибі Зіфере, ти взяв слова з моїх уст :) І сертифікати для доменів, а не IP-адрес. У нас є три IP-адреси для трьох серверів, які обслуговують наш найважчий веб-сайт, і всі вони мають однаковий сертифікат.

— Марк Хендерсон

8

Уявіть ситуацію, коли ви маєте доставити $ 1 000 000 особі на ім’я Джон Сміт, з якою ви ніколи не зустрічалися і не спілкувались. Вам кажуть, що можете зустріти його в людному місці. Коли ви йдете назустріч, вам знадобиться якийсь спосіб, щоб переконатися, що він насправді є людиною, яку ви шукаєте, а не інша випадкова людина, яка претендує на роль Джона Сміта. Ви можете запитати ідентифікатор уряду, візитну картку. Ви можете попросити людину, якій ви довіряєте, яка насправді познайомилася з Джоном Смітом, щоб допомогти визначити його.

Сертифікат, який підписує власний підпис, однозначно ідентифікує систему, але він не робить нічого, щоб довести, що система є такою, якою вона претендує. Я легко можу самостійно підписати сертифікат і претендувати на сервер defaultfault.com, google.com або yourbank.com. Органи сертифікації в основному діють як третя сторона, якій клієнт довіряє перевірити сертифікат, дійсно дійсний для імені, на яке претендує сайт.

— Зоредаче
джерело

2

SSL-бізнес справді є аферами. Насправді, трохи більше, коли ви платите приблизно 20 пікселів за байт за деякі криптографічно цікаві дані. За що ви платите, це те, що ви використовуєте для підписання свого сертифіката одним із їх приватних ключів, довівши себе, що ви дійсно маєте право використовувати домен / ім'я хоста, для якого сертифікат. Як каже Farseeker, це стосунки довіри - CA довіряє вам (після того, як вони вас оглянули), веб-браузери світу довіряють CA (як правило), і тому веб-браузери світу будуть довіряти вашій програмі. І не запускайте мене про розширену перевірку ...

— Дощовий рет
джерело