Yasal Uyarı: Burada yazan tüm sadece özel görüşüm; tüm gerçeğin bir ifadesi olarak bu metin yazılmış ve kasten, bilerek veya tüm gerçekleştirilen herhangi bir eylem herhangi bir şirketle anlamak için, özellikle de herhangi bir şekilde üzerinde değil dayanmaz ...
Bir yıl önce, yerimden, biz Thawte satın SSL sertifikası kullanılmaktadır.
Thawte eski bir pazar olduğunu ve belki de ilk (ben hatırlamıyorum).
Thawte da çok pahalı olmasıdır. Siz de diğer servis sağlayıcılar için aynı hizmeti alabilirsiniz - ve tüm amaçlar için eşdeğerdir - yani - bilgileri tam olarak aynı yoldan sağladı.
Niye biz hatta, SSL sertifikaları uzak sunucu ile şifreli bir bağlantı kurmanız gerekir? Peki, gerçeği gerçekten gerekli değildir. Kendinden imzalı SSL sertifikaları tarafından bağımsız olarak şifreli bir bağlantı kurmak ve onları kullanmak mümkündür.
Böyle bir geçmişe bağlamak sürece bu işin şeklinde tek dezavantajı, ve bilgisayarınızın Knesset kendi belgesi imzalanmış, onu bağlandığınız sitenin bilemezsiniz, gerçekten bunu bağlanmak için bekliyoruz sitedir. Belki başkası ortasında bağlantısı var, ve bunun yerine bağlamak sunucu size yanıt - sonra gerçekten sizin giden iletişimin gerçekten şifrelenmiş - ama bunu sevk beklediğiniz yere gönderilmez, ama başka bir yerde.
Yasal doğrulama o imzalı sertifika aynı gövde üzerinde yapılan rağmen Burada iki tarafı ile tahsil bir vücut sunucunun şifreleme anahtarını bir dijital imza imzalamak, bu nedenle müşteri üçüncü taraf sertifika ve hizmetin belirli türleri imzalanmış bir üçüncü kişi ile doğrulayabilirsiniz kavramı, gelir .
Şimdiye kadar iyi.
Nerede sorun başlar?
Sorun, böylece, başlar, imza işlemi insan müdahalesi olmaksızın, bir bilgisayar tarafından imal edilebilir bir işlemdir. Bu da bir üçüncü şahıs tarafından imzalanmış, ancak aynı teknik işlem sadece o, bağımsız bir imza ile aynıdır.
Ne yazık ki, web tarayıcıları, (bir ücret servis sağlayıcıları olmasına rağmen ...) imza hizmet için bir ücret talep sadece bu servis sağlayıcıları inşa üçüncü taraf kartları vardır. Siteye oturum herkese, dijital sinyal bu bir uyarı mesajı alırsanız, birkaç saniye çalışması için çok para empoze bu ticari şirketlerinden biri tarafından imzalanmamış olduğunu bu nedenler (bir tarayıcı olarak tanımlandı ne açısından haklı gibi ...) sitenin güvenilir olmayabilir, olsa bile belgesi Uygun kişisel sitesi (geçerli bir etki alanı adı, vb) - gövde contası sistem güvenilirliği belirlenir ve devam edip etmeyeceğine seçmek için kullanıcı verir değildir.
Imzalayanların güvenilir olsaydı servis sağlayıcı en az bir serbest içerir, bütün diğer şirketler temelde eve gidebiliriz, onlar da güvenli bir siteye girdiğinde bir sörfçü bir uyarı almadığı için bugün para yapıyoruz.
Aslında bir an için varsayalım ki bu (sağda) için ücret para - yok bu yazının. Şimdi ben yazdım tüm tüm ihtiyacı bu hizmeti teknik altyapı açıklamak için tasarlanmıştır.
Yukarıda açıklandığı gibi, bir kez üç şey: mühür, geçerlilik tarihleri (başlangıç ve bitiş), burada karmaşık, tarayıcı belirtilen koşulları karşılamak değil - bir uyarı alırsınız. Uyarı bağlantı güvenli olmadığı anlamına gelmez. Sadece birisi medya yakaladı anlamına gelir. Kimse medya, güvenli iletişim, yakaladı Eğer bütün uyarıları çığlık bile "tehlike."
Ve burada sorun gelir.
Kârlarını maksimize etmek için, bir dijital sertifika imzalama sınırlı bir süre için, bu yüzden iki defa aynı "ürün" satabilirsiniz. Gerçekte süresi dolmuş sertifika olur? Gerçekten bir şey yok. Tarayıcı bağırma - Not - Hatta size konuşuyor düşünüyorsun sunucu konuşuyor - Ben düzgün sertifikası, bu sertifika kontrol, o güvenilir bir tarafından imzalandı, hangi birisi sunucudan şifreli özel anahtar (hacking) çalınan sürece anlamına gelir - Ama unutmayın - bu uyarı alırsınız, böylece bu sunucunun sahibi sadece birkaç yüz dolar ödeme yapmadı. Yine - Ben stres - iletişimin tamamen güvenli aynı seviyede - sadece bir uyarı popup pencere - bağlamak doğrulama sistemi de dahil olmak üzere.
Ve şimdi - biz Poitiers var.
Bir yıl önce, biz daha az yüksek fiyatlı, işimin yerleştirmek başka bir SSL sağlayıcı geçmesine karar verdi. Ben açıklandığı gibi tüm sonra, güvenlik açısından fark yoktur.
Ve aslında biz atlattık.
Alt yüklenici (Thawte) imza saldırıları sona ermeden üç ay uyarılar gönderir ve imza (prim fiyatları, her zamanki gibi) devam etmek için çağırır. Biz zaten imzalanmış ve aktif yeni bir sertifika var çünkü elbette görmezden gelmek ve umurumuzda değil böylece müşterilerin dönemi sonunda açılır pencere (yine bağlantının güvenli olmadığını söylemiyorum) almazsınız.
Sonuçta, biz bir e-posta sadece tehdit var yenilik son gününde, olsun, ve formüle edilmiştir:
"ŞİMDİ HAREKETE! Aşağıdaki Sertifikası (ler) süresi doldu. Sitenizin güvenli veya doğrulanmış artık. "
Ve bu yazılan şiirsel var. Yukarıda açıklandığı ne açıklandıktan sonra, bir görmek ve anlamak için, bu cümle tamamen yanlıştır. Biz kendi kartı ile kalmıştım bile - bir uyarı aslında atlama oldu, ancak bir uyarı iletişim ile özel olarak yazılmış güvenli olduğunu ve bu yüzden güvenilir mühür, sadece tarihi geçerli değildir ve bilgisayarınızın saatini kontrol ediniz ...
Sonuç olarak, neden ona gerçeği göstermek yerine, daha fazla para ödemek olmadığını, müvekkilinin sitede sadece emin değil tehdit değil mi? Eğer satmak istiyorsanız, görünüşte her şey gider ...