Disclaimer: Todos os escritos aqui é apenas uma opinião privada, nem todos os escritos neste texto como uma declaração da verdade, não deve ser invocado de qualquer maneira, especialmente para não entender qualquer empresa de qualquer acto praticado intencionalmente, conscientemente, ou em todos os ...
Até um ano atrás, no meu local de trabalho que utilizam certificados SSL Thawte adquiridos.
Thawte é o mais antigo do mercado, e talvez até mesmo o primeiro (não me lembro).
Thawte é também visitámos. Você pode obter o mesmo serviço a outros prestadores de serviços também - é equivalente em todos os aspectos - isto é - a informação de forma segura através exatamente da mesma maneira.
Que diabos tem certificados SSL para estabelecer uma conexão criptografada com um servidor remoto? Bem, a verdade não é realmente necessário. conexão criptografada pode ser configurado de forma independente dos certificados SSL auto-assinado, e usá-los.
A única desvantagem de uma tal forma, é, se você não assinar esse site antes, colocar o computador em seu próprio certificado auto-assinado, você não pode saber que o site que você se conectar a ele, é realmente o site que você espera para se conectar a ele. Talvez alguém tem a ligação no meio, você coloca o servidor e as respostas a que você se conectar - e então a mídia de saída realmente codificado a partir do seu computador - mas não é enviado para onde eu esperava que ela fosse enviada, mas em outro lugar.
Aí vem o conceito de que um órgão responsável para as duas partes assinarão uma assinatura digital na chave do servidor de criptografia, que os clientes possam validar contra um terceiro, esse terceiro assinou o certificado e, em certos tipos de serviços, apesar de verificação jurídica realizada no mesmo órgão para o qual o certificado é assinado .
Até agora, tudo muito bem.
Onde começa o problema?
O problema começa, ele, o processo de assinatura é um procedimento que pode ser feito por um computador, sem contato humano. Esta é exatamente a mesma assinatura independente, só que assinada por um terceiro, mas a mesma ação técnica.
Infelizmente, os navegadores da Web, existem cartões de terceiros, construído inteiramente desses prestadores de serviços cobram uma taxa para o seu serviço de assinatura (apesar de alguns prestadores de serviços não cobram uma taxa ...). Isso faz com que todos os que registra no site, o seu destino não é digital assinado por uma dessas empresas comerciais são apoiados por um monte de dinheiro para uma ação de poucos segundos, receberá uma mensagem de aviso (justificado em termos do que definido um browser ...) que o site pode não ser confiável, que, embora o certificado privacidade adequada (válido, domínio, etc) - A vedação do corpo não está configurado como sendo de confiança no sistema, e dá ao usuário escolher se quer continuar ou não.
Se a lista de signatários foi confiável prestador de serviços tem, pelo menos, um livre, todas as outras empresas podem, basicamente, ir para casa, eles estão ganhando dinheiro hoje para o surfista não vai receber um aviso quando ele entrou em um site seguro.
Suponha por um momento o fato de que o dinheiro arrecadado neste (direito) - e não sobre este post. Agora tudo o que tenho escrito destina-se a explicar a formação técnica em toda a necessidade deste serviço.
Como explicado acima, uma vez que uma de três coisas: selo, data de validade (início e término) e complexo, não satisfaz as condições especificadas no browser - você receberá um aviso. O alerta não significa que a conexão não é segura. Ela só diz que alguém pegou o meios de comunicação. Se ninguém pegou as comunicações, comunicações seguras, mesmo que todos os avisos gritando "perigo".
E aí vem o problema.
Para maximizar os lucros, a assinatura de um certificado digital é por tempo limitado, de modo que nós podemos vender o produto "mesmo" duas vezes. O que acontece na realidade, o certificado expirado? Nada realmente. Browser mensagem - Nota - Eu chequei o cartão, o cartão corretamente, ela foi assinada por uma fonte confiável, o que significa que a menos que alguém roubou a chave privada criptografada do servidor (hacking) - Você nem sequer falar com o servidor você pensa que está falando - Mas note-se - o proprietário deste servidor simplesmente não pagam centenas de dólares para não mostrar-lhe esse aviso. Mais uma vez - repito - as comunicações totalmente seguras ao mesmo nível - incluindo o sistema de verificação para que você se conecta a - apenas uma janela de aviso.
E agora - nós temos poética.
Um ano atrás, decidimos colocar o meu trabalho, passar um outro fornecedor de SSL, menos caro. Afinal, como já explicado em termos de segurança da informação, não há diferença.
Na verdade nós já passamos.
Old portador (Thawte) envia alertas de três meses antes do final de sua assinatura, e chamadas para retomar a assinatura (preços premium, como de costume). Nós, naturalmente, ignorar que já temos um novo certificado, assinado e ativa, e os clientes não recebem janela PopUp (novamente, não estou dizendo que a conexão não é segura) no final do período; Portanto, não estamos preocupados.
No final, é o último dia de renovação, que acaba de receber e-mail ameaçador, que é formulado:
"Act Now! A seguir Certificado (s) expirou. Seu site já não é seguro ou validado. "
E poética deste post. Depois que eu expliquei o que eu expliquei acima, pode-se ver e entender, este julgamento é uma mentira total. Mesmo que ficaram com seu cartão de ID - embora um aviso que saltar, mas alerta que disse que a mídia também definitivamente seguro, selo de modo confiável, apenas a data não é válida, vamos verificar o relógio do computador ...
Em conclusão, porque não ameaçam o seu cliente não tinha certeza de que o site só porque ele não tinha pago mais dinheiro, ao invés de mostrar-lhe a verdade? Quando você quer vender, parece que tudo é permitido ...