Disclaimer: Tất cả văn bản ở đây là chỉ là một ý kiến riêng tư, không phải tất cả bằng văn bản trong văn bản này như một tuyên bố của sự thật, và không dựa vào nó trong bất kỳ cách nào, đặc biệt là không hiểu bất kỳ công ty từ bất kỳ hành động cố tình, cố ý, hoặc ở tất cả ...
Một năm trước, tại nơi làm việc của tôi, chúng tôi sử dụng giấy chứng nhận SSL mua từ Thawte.
Thawte là thị trường lâu đời nhất, và thậm chí có thể là người đầu tiên (tôi không nhớ).
Thawte được cũng rất tốn kém. Bạn có thể nhận được cùng một dịch vụ cho các nhà cung cấp dịch vụ khác - và tương đương cho tất cả các mục đích - đó là thông tin bảo đảm thông qua cùng một cách chính xác.
Tại sao chúng ta cần thiết lập giấy chứng nhận kết nối SSL được mã hóa với một máy chủ từ xa? Vâng, sự thật là không thực sự cần thiết. Có thể thiết lập một kết nối được mã hóa độc lập tự ký giấy chứng nhận SSL, và sử dụng chúng.
Các nhược điểm duy nhất trong hình thức của tác phẩm đó, là, trừ khi bạn kết nối quá khứ như 1, và Knesset máy tính của bạn đã ký giấy chứng nhận của riêng mình, bạn không thể biết các trang web của bạn được kết nối với nó, là thực sự trang web bạn mong muốn kết nối đến nó. Có lẽ một người nào khác có kết nối ở giữa, và đáp ứng cho bạn thay vì máy chủ mà bạn kết nối, sau đó thực sự thông tin liên lạc ra bên ngoài của bạn thực sự là mã hóa nhưng không gửi đến nơi mà bạn mong đợi nó sẽ được xuất xưởng, nhưng ở một nơi khác.
Ở đây nói đến các khái niệm là 1 cơ thể chịu trách nhiệm với hai bên sẽ ký 1 chữ ký kỹ thuật số trên chìa khóa mã hóa của máy chủ, vì vậy khách hàng có thể xác minh với 1 bên thứ 3 mà bên thứ ba đã ký các giấy chứng nhận, và một số loại dịch vụ, mặc dù pháp lý xác minh thực hiện trên các cơ thể giống nhau mà ông đã ký giấy chứng nhận .
Vì vậy, đến nay rất tốt.
Nơi mà vấn đề bắt đầu?
Vấn đề bắt đầu, do đó, quá trình chữ ký là một thủ tục có thể được thực hiện bởi một máy tính, mà không có sự can thiệp của con người. Đây là giống với chữ ký của một độc lập, chỉ là nó được ký bởi một bên thứ ba, nhưng cùng một hoạt động kỹ thuật.
Thật không may, trình duyệt web, có thẻ của bên thứ ba xây dựng chỉ những nhà cung cấp dịch vụ tính lệ phí cho dịch vụ chữ ký của họ (mặc dù có những nhà cung cấp dịch vụ tính lệ phí ...). Điều này nguyên nhân là tất cả những người đăng nhập vào trang web, các tín hiệu số này được không ký kết một trong những công ty thương mại mà áp đặt rất nhiều tiền cho hoạt động của một vài giây, nhận được 1 tin nhắn cảnh báo (để được biện minh về những gì đã được định nghĩa như là một trình duyệt ...) mà các trang web không có thể là đáng tin cậy, mà ngay cả khi giấy chứng nhận thích hợp trang web cá nhân (tên miền hợp lệ, vv) - con dấu cơ thể không được thiết lập độ tin cậy của hệ thống, và nó mang lại cho người dùng lựa chọn xem có nên tiếp tục hay không.
Nếu người ký tên đã được tin cậy cung cấp dịch vụ bao gồm ít nhất một, tất cả các công ty khác về cơ bản có thể về nhà, họ kiếm tiền ngày hôm nay cho một người lướt không nhận được một cảnh báo khi ông bước vào một trang web an toàn.
Giả sử một thời điểm thực tế mà phí tiền cho việc này (bên phải) - không phải trên bài đăng này. Bây giờ tất cả những gì tôi đã viết là nhằm mục đích để giải thích nền tảng kỹ thuật ở tất cả các nhu cầu dịch vụ này.
Như đã giải thích ở trên, một khi một trong ba điều: con dấu, ngày tháng hiệu lực (bắt đầu và kết thúc), nơi phức tạp, không đáp ứng các điều kiện quy định trong trình duyệt - bạn nhận được một cảnh báo. Lời cảnh báo không có nghĩa là kết nối không an toàn. Nó chỉ có nghĩa rằng nó có thể ai đó nắm lấy các phương tiện truyền thông. Nếu không có ai nắm lấy các phương tiện truyền thông, thông tin liên lạc an toàn, ngay cả khi tất cả những lời cảnh báo hét "nguy hiểm."
Và ở đây có vấn đề.
Để tối đa hóa lợi nhuận, ký giấy chứng nhận kỹ thuật số trong một thời gian hạn chế, do đó, nó có thể bán các "sản phẩm" hai lần. Điều gì sẽ xảy ra chứng chỉ thực sự hết hạn? Không có gì thực sự. Trình duyệt hét - Lưu ý - Tôi kiểm tra các giấy chứng nhận, chứng chỉ này đúng cách, cô đã được ký kết bởi một đáng tin cậy, mà có nghĩa rằng trừ khi một người nào đó đã bị đánh cắp các phím mã hóa tin từ máy chủ (bằng cách hack) - bạn thậm chí nói chuyện với các máy chủ bạn nghĩ rằng bạn đang nói chuyện - Nhưng lưu ý chủ sở hữu của máy chủ này chỉ đơn giản là không phải trả vài trăm đô la để bạn sẽ nhận được cảnh báo này. Một lần nữa - tôi nhấn mạnh - hoàn toàn được bảo mật thông tin liên lạc cùng cấp - bao gồm cả hệ thống xác minh kết nối - chỉ là một cửa sổ cảnh báo bật lên.
Và bây giờ chúng tôi đã đến Poitiers.
Một năm trước, chúng tôi quyết định đặt công việc của tôi, thông qua một nhà cung cấp SSL, ít giá cao. Sau khi tất cả, như tôi đã giải thích, về an ninh, có sự khác biệt.
Và trong thực tế, chúng tôi đã được thông qua.
Nhà cung cấp cũ (Thawte) sẽ gửi thông báo từ ba tháng trước khi kết thúc các cuộc tấn công chữ ký của họ, và kêu gọi tiếp tục chữ ký (giá cao, như thường lệ). Chúng tôi tất nhiên bỏ qua, bởi vì chúng tôi đã có một chứng chỉ mới ký và hoạt động, và khách hàng sẽ không nhận được cửa sổ popup (một lần nữa, không nói rằng kết nối không an toàn) vào cuối của thời kỳ này vì vậy chúng tôi không quan tâm.
Cuối cùng, đó là ngày cuối cùng của tính mới, mà chúng tôi đã nhận một email đe dọa, nó đã được xây dựng:
"ACT! Giấy chứng nhận sau (s) đã hết hạn. Trang web của bạn không còn an toàn hay xác nhận. "
Và đó là thơ mộng cho bài viết này. Sau khi giải thích những gì tôi giải thích ở trên, ta có thể thấy và hiểu, câu này là hoàn toàn sai. Thậm chí nếu chúng ta đã ở lại với thẻ của họ - một cảnh báo thực sự được nhảy, nhưng cảnh báo đã được viết đặc biệt với thông tin liên lạc an toàn, và niêm phong như vậy đáng tin cậy, chỉ cần ngày là không hợp lệ, và hãy kiểm tra đồng hồ của máy tính ...
Trong kết luận, tại sao không đe dọa trang web khách hàng của ông chỉ không chắc chắn rằng ông không trả tiền nhiều hơn thay vì để cho ông ta thấy sự thật? Khi bạn muốn bán, dường như bất cứ điều gì đi ...