Disclaimer: ทั้งหมดที่เขียนนี่เป็นเพียงความคิดเห็นส่วนตัวที่ไม่ได้ทั้งหมดเป็นลายลักษณ์อักษรในข้อความนี้เป็นคำสั่งของความจริงและไม่พึ่งพามันในทางใดทางหนึ่งโดยเฉพาะอย่างยิ่งที่จะไม่เข้าใจ บริษัท ใด ๆ จากการกระทำที่ดำเนินการโดยเจตนาจงใจหรือที่ใดก็ได้ ...
ปีที่ผ่านมาที่ทำงานของฉันเราใช้ใบรับรอง SSL ที่ซื้อมาจาก Thawte
Thawte เป็นตลาดที่เก่าแก่ที่สุดและอาจแรก (ผมจำไม่ได้)
Thawte ยังมีราคาแพงมาก คุณจะได้รับบริการที่เดียวกันเพื่อให้บริการอื่น ๆ เช่นกัน - และเทียบเท่าเพื่อวัตถุประสงค์ทั้งหมด - นั่นคือ - ข้อมูลการรักษาความปลอดภัยผ่านตรงทางเดียวกัน
ทำไมเรายังต้องตั้งค่าใบรับรอง SSL เชื่อมต่อที่เข้ารหัสกับเซิร์ฟเวอร์ระยะไกล? ดีจริงไม่จำเป็นจริงๆ ที่เป็นไปได้ที่จะสร้างการเชื่อมต่อที่เข้ารหัสได้อย่างอิสระโดยใบรับรอง SSL ลงนามด้วยตนเองและใช้พวกเขา
ข้อเสียเปรียบเพียงในรูปแบบของการทำงานดังกล่าวคือถ้าคุณเชื่อมต่อไปเช่นที่ผ่านมาและ Knesset คอมพิวเตอร์ของคุณลงนามรับรองของเขาเองคุณจะไม่สามารถรู้ว่าเว็บไซต์ที่คุณกำลังเชื่อมต่อกับมันเป็นจริงเว็บไซต์ที่คุณคาดหวังที่จะเชื่อมต่อกับมัน บางทีคนอื่นมีการเชื่อมต่อที่อยู่ตรงกลางและตอบสนองต่อการให้คุณแทนของเซิร์ฟเวอร์ที่คุณเชื่อมต่อ - แล้วแน่นอนการสื่อสารขาออกของคุณเป็นจริงการเข้ารหัส - แต่ไม่ได้ส่งไปยังที่ที่คุณคาดหวังต้องถูกส่งมา แต่ที่อื่น
ที่นี่แนวคิดที่ร่างกายเรียกเก็บเงินกับทั้งสองฝ่ายจะลงนามลายเซ็นดิจิทัลบนคีย์การเข้ารหัสลับของเซิร์ฟเวอร์เพื่อให้ลูกค้าสามารถตรวจสอบกับบุคคลที่สามที่บุคคลที่สามลงนามรับรองและบางประเภทของบริการที่มาพร้อมแม้จะในการตรวจสอบทางกฎหมายดำเนินการกับร่างกายเดียวกันที่เขาลงนามรับรอง .
ดังนั้นไกลดังนั้นดี
ในกรณีที่ปัญหาจะเริ่ม?
ปัญหาที่เกิดขึ้นจะเริ่มต้นจึงเป็นกระบวนการลายเซ็นเป็นขั้นตอนที่สามารถทำโดยใช้คอมพิวเตอร์โดยไม่มีการแทรกแซงของมนุษย์ นี้เป็นเหมือนลายเซ็นของอิสระเท่านั้นที่จะลงนามโดยบุคคลที่สาม แต่การดำเนินการทางเทคนิคเดียวกัน
แต่น่าเสียดายที่เว็บเบราเซอร์ที่มีบัตรบุคคลที่สามที่สร้างขึ้น แต่เพียงผู้เดียวที่ให้บริการที่เรียกเก็บค่าธรรมเนียมสำหรับการให้บริการลายเซ็นของพวกเขา (แม้ว่าจะมีผู้ให้บริการที่เรียกเก็บค่า ... ) นี้สาเหตุที่ทุกคนที่ล็อกอินไปยังเว็บไซต์ของสัญญาณดิจิตอลนี้จะไม่ลงนามโดยหนึ่งใน บริษัท การค้าเหล่านี้ที่จะกำหนดเงินเป็นจำนวนมากสำหรับการดำเนินงานของไม่กี่วินาที, รับข้อความแจ้งเตือน (เพื่อเป็นธรรมในแง่ของสิ่งที่ถูกกำหนดให้เป็นเบราว์เซอร์ ... ) ว่าเว็บไซต์ที่อาจจะไม่น่าเชื่อถือและว่าแม้ว่าการรับรองจาก เว็บไซต์ส่วนบุคคลที่เหมาะสม (ชื่อโดเมนที่ถูกต้อง ฯลฯ ) - ซีลร่างกายไม่ได้ตั้งค่าความน่าเชื่อถือของระบบและจะช่วยให้ผู้ใช้สามารถเลือกได้ว่าจะดำเนินการต่อหรือไม่
ถ้าถูกคน Signers ผู้ให้บริการมีอย่างน้อยหนึ่งฟรีทุก บริษัท อื่น ๆ โดยทั่วไปสามารถกลับบ้านพวกเขาจะทำเงินในวันนี้สำหรับนักท่องไม่ได้รับการแจ้งเตือนเมื่อเขาเข้าไปในเว็บไซต์ที่ปลอดภัย
สมมติว่าตอนความจริงที่ว่าค่าใช้จ่ายเงินสำหรับการนี้ (ขวา) - ไม่ได้อยู่ในกระทู้นี้ ตอนนี้สิ่งที่ฉันได้เขียนมีวัตถุประสงค์เพื่ออธิบายภูมิหลังทางเทคนิคที่จำเป็นต้องใช้บริการนี้
ตามที่อธิบายไว้ข้างต้นเมื่อหนึ่งในสามสิ่ง: ประทับตราวันที่ความถูกต้อง (เริ่มต้นและสิ้นสุด) ที่ซับซ้อนไม่ได้ตรงตามเงื่อนไขที่กำหนดไว้ในเบราว์เซอร์ - คุณได้รับการเตือน เตือนไม่ได้หมายความว่าการเชื่อมต่อไม่ปลอดภัย มันก็หมายความว่ามันอาจจะมีคนคว้าสื่อ ถ้ายังไม่มีใครคว้าสื่อ, การสื่อสารที่ปลอดภัยแม้ว่าคำเตือนทั้งหมดกรีดร้อง "อันตราย".
และที่นี่มาพร้อมปัญหาที่เกิดขึ้น
เพื่อเพิ่มผลกำไรลงนามใบรับรองดิจิทัลเป็นระยะเวลาที่ จำกัด จึงสามารถขาย "สินค้า" เดียวกันสองครั้ง ที่เกิดขึ้นใบรับรองหมดอายุจริงอะไร? ไม่มีอะไรจริงๆ ตะโกนเบราว์เซอร์ - หมายเหตุ - ฉันจะตรวจสอบใบรับรองการผ่านการรับรองนี้อย่างถูกเธอถูกลงนามโดยที่เชื่อถือได้ซึ่งหมายความว่าถ้ามีคนขโมยกุญแจส่วนตัวเข้ารหัสจากเซิร์ฟเวอร์ (โดยแฮ็ค) - คุณยังพูดคุยกับเซิร์ฟเวอร์ที่คุณคิดว่าคุณกำลังพูดถึง - แต่ทราบ - เจ้าของเซิร์ฟเวอร์นี้ก็ไม่ได้จ่ายหลายร้อยดอลลาร์เพื่อที่คุณจะได้รับการเตือนนี้ อีกครั้ง - ความเครียด I - การสื่อสารที่ปลอดภัยอย่างแน่นอนในระดับเดียวกัน - รวมถึงระบบการตรวจสอบที่เชื่อมต่อ - เพียงแค่เตือนหน้าต่างป๊อปอัพ
และตอนนี้ - ที่เราได้ไปปัวตีเย
ปีที่ผ่านมาเราตัดสินใจที่จะวางงานของผมผ่านผู้ให้บริการอื่น SSL, น้อยลงในราคาสูง หลังจากที่ทุกอย่างที่ฉันอธิบายในแง่ของการรักษาความปลอดภัยมีไม่แตกต่างกันคือ
และในความเป็นจริงเราเคยผ่าน
ผู้จัดจำหน่ายที่โบราณ (Thawte) ส่งการแจ้งเตือนจากสามเดือนก่อนการสิ้นสุดของการโจมตีของพวกเขาลายเซ็นและเรียกร้องให้ดำเนินการต่อลายเซ็น (ราคาพรีเมี่ยมตามปกติ) แน่นอนเราไม่สนใจเพราะเรามีใบรับรองใหม่ได้ลงนามและการใช้งานและลูกค้าจะไม่ได้รับหน้าต่างป๊อปอัพ (อีกครั้งไม่ได้บอกว่าการเชื่อมต่อไม่ปลอดภัย) ณ สิ้นงวดเพื่อให้เราไม่สนใจ
ในที่สุดก็ถึงวันสุดท้ายของความแปลกใหม่ซึ่งเราได้ส่งอีเมล์ก็ขู่มันก็สูตร:
"Act Now! รับรองต่อไปนี้ (s) หมดอายุ. เว็บไซต์ของคุณจะไม่ปลอดภัยหรือการตรวจสอบ. "
และนั่นคือบทกวีในกระทู้นี้ หลังจากที่อธิบายสิ่งที่ผมอธิบายข้างต้นอย่างใดอย่างหนึ่งที่สามารถเห็นและเข้าใจประโยคนี้เป็นเท็จอย่างสมบูรณ์ แม้ว่าเราได้อยู่กับบัตรของตน - คำเตือนแน่นอนได้กระโดด แต่เตือนถูกเขียนเฉพาะเกี่ยวกับการสื่อสารมีความปลอดภัยและประทับตราที่เชื่อถือได้ดังนั้นเพียงแค่วันที่ไม่ถูกต้องและโปรดตรวจสอบนาฬิกาของเครื่องคอมพิวเตอร์ ...
สรุปได้ว่าทำไมไม่คุกคามเว็บไซต์ของลูกค้าของเขาแค่ไม่แน่ใจว่าเขาไม่ได้จ่ายเงินมากขึ้นแทนเพื่อแสดงให้เขาจริงหรือไม่ เมื่อคุณต้องการที่จะขายอะไรที่เห็นได้ชัดว่าจะไป ...