Chứng chỉ ssl được xác minh như thế nào?

Chuỗi các bước cần thiết để xác minh an toàn chứng chỉ ssl là gì? Hiểu biết của tôi (rất hạn chế) là khi bạn truy cập trang web https, máy chủ sẽ gửi chứng chỉ cho khách hàng (trình duyệt) và trình duyệt lấy thông tin của nhà phát hành chứng chỉ từ chứng chỉ đó, sau đó sử dụng thông tin đó để liên hệ với nhà phát hành và bằng cách nào đó so sánh Giấy chứng nhận hiệu lực.

• Làm thế nào chính xác là điều này được thực hiện?
• Thế còn quá trình làm cho nó miễn nhiễm với các cuộc tấn công giữa chừng?
• Điều gì ngăn cản một số người ngẫu nhiên thiết lập dịch vụ xác minh của riêng họ để sử dụng trong các cuộc tấn công trung gian, vì vậy mọi thứ "có vẻ" an toàn?

Đây là một lời giải thích rất đơn giản:

1. Trình duyệt web của bạn tải xuống chứng chỉ của máy chủ web chứa khóa công khai của máy chủ web. Chứng chỉ này được ký với khóa riêng của cơ quan chứng nhận tin cậy.

2. Trình duyệt web của bạn được cài đặt với các khóa công khai của tất cả các cơ quan cấp chứng chỉ chính. Nó sử dụng khóa công khai này để xác minh rằng chứng chỉ của máy chủ web thực sự đã được ký bởi cơ quan chứng nhận tin cậy.

3. Chứng chỉ chứa tên miền và / hoặc địa chỉ IP của máy chủ web. Trình duyệt web của bạn xác nhận với cơ quan cấp chứng chỉ rằng địa chỉ được liệt kê trong chứng chỉ là địa chỉ mà nó có kết nối mở.

4. Trình duyệt web của bạn tạo khóa đối xứng được chia sẻ sẽ được sử dụng để mã hóa lưu lượng HTTP trên kết nối này; điều này hiệu quả hơn nhiều so với việc sử dụng mã hóa khóa chung / riêng cho mọi thứ. Trình duyệt của bạn mã hóa khóa đối xứng với khóa chung của máy chủ web sau đó gửi lại, do đó đảm bảo rằng chỉ máy chủ web mới có thể giải mã được, vì chỉ máy chủ web mới có khóa riêng.

Lưu ý rằng cơ quan cấp chứng chỉ (CA) là điều cần thiết để ngăn chặn các cuộc tấn công trung gian. Tuy nhiên, ngay cả chứng chỉ chưa được ký sẽ ngăn người khác lắng nghe một cách thụ động về lưu lượng được mã hóa của bạn, vì họ không có cách nào để có quyền truy cập vào khóa đối xứng được chia sẻ của bạn.

Điều đáng chú ý là ngoài việc mua chứng chỉ (như đã đề cập ở trên), bạn cũng có thể tạo tài liệu của riêng mình miễn phí; đây được gọi là "chứng chỉ tự ký". Sự khác biệt giữa chứng chỉ tự ký và chứng chỉ đã mua rất đơn giản: chứng chỉ đã mua đã được ký bởi Cơ quan cấp chứng chỉ mà trình duyệt của bạn đã biết. Nói cách khác, trình duyệt của bạn có thể dễ dàng xác thực tính xác thực của chứng chỉ đã mua.

Thật không may, điều này đã dẫn đến một quan niệm sai lầm phổ biến rằng các chứng chỉ tự ký vốn đã kém an toàn hơn so với các chứng chỉ được bán bởi CA thương mại như GoDaddy và Verisign và bạn phải sống với các cảnh báo / ngoại lệ của trình duyệt nếu bạn sử dụng chúng; điều này là không đúng .

Nếu bạn phân phối một cách an toàn chứng chỉ tự ký (hoặc chứng chỉ CA, như bobince đề xuất) và cài đặt nó trong các trình duyệt sẽ sử dụng trang web của bạn , thì nó cũng an toàn như một chứng chỉ đã mua và không dễ bị tấn công giữa chừng tấn công và chứng nhận giả mạo. Rõ ràng điều này có nghĩa là nó chỉ khả thi nếu chỉ một vài người cần truy cập an toàn vào trang web của bạn (ví dụ: ứng dụng nội bộ, blog cá nhân, v.v.).

Bạn đã nói rằng

trình duyệt lấy thông tin của nhà phát hành chứng chỉ từ chứng chỉ đó, sau đó sử dụng thông tin đó để liên hệ với nhà phát hành và bằng cách nào đó so sánh các chứng chỉ về tính hợp lệ.

Khách hàng không phải kiểm tra với công ty phát hành vì hai điều:

1. tất cả các trình duyệt có một danh sách được cài đặt sẵn của tất cả các khóa công khai CA chính
2. chứng chỉ đã được ký và bản thân chữ ký đó đủ chứng minh rằng chứng chỉ đó hợp lệ bởi vì khách hàng có thể tự đảm bảo, và không cần liên hệ với máy chủ của nhà phát hành, chứng chỉ đó là xác thực. Đó là vẻ đẹp của mã hóa bất đối xứng.

Lưu ý rằng 2. không thể được thực hiện mà không có 1.

Điều này được giải thích tốt hơn trong sơ đồ lớn này tôi đã thực hiện một thời gian trước đây

(bỏ qua "chữ ký là gì?" ở phía dưới)

Khách hàng có một kho lưu trữ khóa công khai của các cơ quan cấp chứng chỉ SSL. Phải có một chuỗi tin cậy từ chứng chỉ cho máy chủ thông qua các cơ quan trung gian cho đến một trong những chứng chỉ được gọi là "gốc" để máy chủ được tin cậy.

Bạn có thể kiểm tra và / hoặc thay đổi danh sách các cơ quan đáng tin cậy. Thường thì bạn làm điều này để thêm chứng chỉ cho chính quyền địa phương mà bạn biết bạn tin tưởng - như công ty bạn làm việc hoặc trường bạn học hoặc không.

Danh sách hạt giống có thể thay đổi tùy thuộc vào khách hàng bạn sử dụng. Các nhà cung cấp chứng chỉ SSL lớn đảm bảo rằng các thư mục gốc của họ có trong tất cả các trình duyệt chính ($$$).

Các cuộc tấn công giữa chừng là "không thể" trừ khi kẻ tấn công có khóa riêng của chứng chỉ gốc đáng tin cậy. Vì các chứng chỉ tương ứng được triển khai rộng rãi, việc tiếp xúc với khóa riêng như vậy sẽ có ý nghĩa nghiêm trọng đối với bảo mật của Thương mại điện tử nói chung. Do đó, các khóa riêng đó được bảo vệ rất, rất chặt chẽ.

nếu bạn quan tâm hơn về mặt kỹ thuật, trang web này có thể là những gì bạn muốn: http://www.zytrax.com/tech/survival/ssl.html

cảnh báo: lỗ thỏ đi sâu :).