Disclaimer: Semua yang ditulis di sini adalah hanya pendapat pribadi, tidak semua ditulis dalam teks ini sebagai pernyataan kebenaran, dan tidak bergantung pada itu dengan cara apapun, terutama untuk memahami perusahaan apapun dari setiap tindakan yang dilakukan dengan sengaja, sadar, atau sama sekali ...
Setahun yang lalu, di tempat kerja saya, kami menggunakan sertifikat SSL dibeli dari Thawte.
Thawte merupakan pasar tertua, dan bahkan mungkin yang pertama (saya tidak ingat).
Thawte juga menjadi sangat mahal. Anda bisa mendapatkan layanan yang sama ke penyedia layanan lain juga - dan setara untuk semua tujuan - yaitu - informasi dijamin melalui cara yang persis sama.
Mengapa kita bahkan perlu menyiapkan sertifikat SSL koneksi terenkripsi dengan server jauh? Nah, kebenaran sebenarnya tidak penting. Kemungkinan untuk membangun koneksi terenkripsi secara mandiri oleh diri menandatangani sertifikat SSL, dan menggunakannya.
Satu-satunya kekurangan dalam bentuk pekerjaan tersebut, adalah, kecuali jika Anda terhubung ke seperti masa lalu, dan Knesset komputer Anda menandatangani sertifikat sendiri, Anda tidak tahu situs yang Anda menghubungkan ke sana, memang situs yang Anda harapkan untuk menyambung ke. Mungkin orang lain punya koneksi di tengah, dan menanggapi Anda selain dari server yang disambungkan - maka sesungguhnya komunikasi keluar Anda memang dienkripsi - tapi tidak dikirim ke tempat Anda harapkan untuk dikirim, tapi di tempat lain.
Di sinilah konsep bahwa tubuh dituntut dengan kedua belah pihak akan menandatangani tanda tangan digital pada kunci enkripsi server, sehingga pelanggan dapat memverifikasi dengan pihak ketiga pihak ketiga menandatangani sertifikat, dan beberapa jenis layanan, meskipun verifikasi hukum dilakukan pada tubuh yang sama yang ia menandatangani sertifikat .
Sejauh ini cukup baik.
Di mana masalah dimulai?
Masalahnya dimulai, dengan demikian, proses tanda tangan adalah prosedur yang dapat dibuat oleh komputer, tanpa campur tangan manusia. Ini identik dengan tanda tangan dari independen, hanya itu ditandatangani oleh pihak ketiga, tetapi operasi teknis yang sama.
Sayangnya, browser web, ada pihak ketiga kartu dibangun semata-mata penyedia layanan mereka yang mengenakan biaya untuk layanan tanda tangan mereka (walaupun ada penyedia layanan yang mengenakan biaya ...). Hal ini menyebabkan bahwa semua yang log on ke situs, sinyal digital ini tidak ditandatangani oleh salah satu perusahaan komersial yang memaksakan banyak uang untuk operasi beberapa detik, pesan peringatan (untuk dibenarkan dalam hal apa yang didefinisikan sebagai browser ...) bahwa situs tersebut mungkin tidak dapat diandalkan, yang meskipun sertifikat tersebut situs pribadi yang sesuai (nama domain yang valid, dll) - segel tubuh tidak diatur keandalan sistem, dan memberikan pengguna untuk memilih apakah akan melanjutkan atau tidak.
Jika penandatangan dipercaya penyedia layanan termasuk setidaknya satu bebas, semua perusahaan lain pada dasarnya bisa pulang, mereka membuat uang hari ini untuk surfer tidak menerima peringatan ketika ia memasuki sebuah situs aman.
Misalkan sejenak untuk fakta bahwa biaya uang untuk ini (kanan) - bukan di posting ini. Sekarang yang saya tulis ini dimaksudkan untuk menjelaskan latar belakang teknis sama sekali kebutuhan layanan ini.
Seperti dijelaskan di atas, setelah satu dari tiga hal: segel, tanggal validitas (mulai dan akhir), dimana kompleks, tidak memenuhi kondisi yang ditentukan dalam browser - Anda menerima peringatan. Peringatan itu tidak berarti bahwa sambungan tidak aman. Ini hanya berarti bahwa mungkin seseorang meraih media. Jika belum ada menyambar media, komunikasi yang aman, bahkan jika semua peringatan berteriak "bahaya."
Dan di sini muncul masalah.
Untuk memaksimalkan keuntungan, menandatangani sertifikat digital untuk waktu yang terbatas, sehingga dapat menjual "produk" yang sama dua kali. Apa yang terjadi sebenarnya sertifikat kadaluarsa? Tidak ada yang benar-benar. Teriakan Browser - Catatan - Aku memeriksa sertifikat, sertifikat ini dengan benar, dia ditandatangani oleh yang handal, yang berarti bahwa kecuali seseorang telah mencuri kunci pribadi terenkripsi dari server (oleh hacking) - Anda bahkan berbicara ke server Anda berpikir Anda sedang berbicara dengan - Tetapi perhatikan - pemilik server ini hanya tidak membayar beberapa ratus dolar sehingga Anda akan mendapatkan peringatan ini. Sekali lagi - saya stres - komunikasi benar-benar aman pada tingkat yang sama - termasuk sistem verifikasi yang menghubungkan - hanya jendela peringatan popup.
Dan sekarang - kami harus Poitiers.
Setahun yang lalu, kami memutuskan untuk menempatkan pekerjaan saya, lulus selular lain SSL, kurang berharga mahal. Bagaimanapun juga, seperti saya jelaskan, dalam hal keamanan, tidak ada perbedaan.
Dan sebenarnya kita sudah melalui.
Pemasok lama (Thawte) mengirimkan peringatan dari tiga bulan sebelum akhir serangan tanda tangan mereka, dan panggilan untuk melanjutkan tanda tangan (harga premium, seperti biasa). Kami tentu saja mengabaikan, karena kita sudah memiliki sertifikat baru ditandatangani dan aktif, dan pelanggan tidak akan menerima popup window (sekali lagi, tidak mengatakan bahwa sambungan tidak aman) pada akhir periode sehingga kita tidak peduli.
Pada akhirnya, itu hari terakhir kebaruan, yang kita punya email hanya mengancam, yang diformulasikan:
"ACT NOW! Sertifikat berikut (s) telah berakhir. Situs Anda tidak lagi aman atau divalidasi. "
Dan itu puitis dalam posting ini. Setelah menjelaskan apa yang saya jelaskan di atas, kita dapat melihat dan memahami, kalimat ini benar-benar palsu. Bahkan jika kita tetap tinggal dengan kartu mereka - peringatan memang melompat-lompat, tapi peringatan ditulis secara khusus dengan komunikasi aman, dan segel sehingga dapat diandalkan, hanya tanggal tidak valid, dan silakan memeriksa jam komputer ...
Kesimpulannya, mengapa tidak mengancam situs kliennya hanya tidak yakin bahwa ia tidak membayar lebih banyak uang, bukan untuk menunjukkan kebenaran? Bila Anda ingin menjual, tampaknya apapun itu ...