Чому під час перевірки сертифікатів Thunderbird підключається до порту 80?

Щоб відстежувати мережний трафік в OSX, я використовую брандмауер HandsOff! від Metakine. Я помітив, що Thunderbird підключається лише до порту 80 (http) при перевірці на наявність оновлених сертифікатів.

Це нормально?

Я використовую Thunderbird протягом декількох днів, і він ніколи не вибрав встановлення захищених з'єднань на порт 443 (https) при перевірці на сертифікати.

enter image description here

thunderbird certificate

Можливо, нові сертифікати підписані старими? Зрештою, щоб використовувати SSL, вам доведеться довіряти старим. Якщо це так, невикористання SSL (в HTTPS) заощаджує гроші і не впливає на цілісність даних.

— RedGrittyBrick

@RedGrittyBrick: Економія грошей? Це не схоже на VeriSign купити SSL-сертифікати ...

— grawity

@grawity: Я згадував аргументи Зефір для використання HTTPS на веб-сайтах SE. ...

— RedGrittyBrick

@grawity: Хоча Джефф Аутворд, мабуть, є передумав на цьому. Мої міркування можуть бути неправильними, або OTOH Mozilla / Verisign et al може не наздогнати мислення Джеффа.

— RedGrittyBrick

Відповіді:

Як показує ваш знімок екрана, Thunderbird створює з'єднання для отримання CRL і перевірки статусу сертифіката за допомогою OCSP. В обох випадках SSL не є необхідним для забезпечення безпеки, оскільки списки відкликання X.509 і відповіді OSCP завжди підписуються одним і тим же ЦС.

— grawity
джерело

У чомусь це куряче і яйце. Якщо веб-переглядач хотів перевірити сертифікат через SSL, підключення, він також повинен перевірити сертифікат SSL-з'єднання, але як він може перевірити сертифікат SSL-з'єднання?

Так що якщо я піду https://addons.mozilla.org Тоді мені потрібно перевірити сертифікат, використовуючи OCSP , тому я підключаюся до сервера OCSP, визначеного в сертифікаті. Якщо я втомився підключатися до сервера OCSP за допомогою HTTPS, то мені потрібно було б перевірити сертифікат сервера OCSP, але куди мені перейти, щоб перевірити це?

Як згадувалося @grawity, шифрування не вимагається для того, щоб перевірка сертифіката була чистою, оскільки PKI, що використовується для сертифікатів, вже запобігає будь-яким проблемам.

— Zoredache
джерело