Tôi đã trả tiền cho một chứng chỉ SSL từ Namecheap, tôi nghĩ rằng nó đã được chứng nhận bởi ComodoSSL. Tôi mất 7 đô la, phải mất một tuần để kích hoạt và tôi phải tự làm điều đó từ SSH trong khi chỉnh sửa các tệp cấu hình trang web của mình.

Sau đó, một người bạn đã cho tôi biết về Let Encrypt , người không chỉ cung cấp chứng chỉ SSL miễn phí mà còn có thể được cài đặt bằng cách chạy một lệnh duy nhất.

Tôi chắc chắn rằng tôi đang thiếu một cái gì đó ở đây, nhưng tại sao tôi muốn trả tiền cho chứng chỉ SSL khi tôi có thể cài đặt dễ dàng, miễn phí, với thiết lập gia hạn tự động?

Tại sao tôi phải trả tiền cho chứng chỉ SSL?

Đối với hầu hết các mục đích sử dụng, không có lý do chính đáng để trả tiền cho chúng.
Xem phần dưới cùng để biết tóm tắt về các trường hợp ngoại lệ.

Hãy lùi lại một bước và giải thích những chứng chỉ làm gì và đại khái là như thế nào.

Những gì thường được gọi là "chứng chỉ" bao gồm hai phần được liên kết:

• Các giấy chứng nhận phù hợp , trong đó có một khóa công khai và một số nhận dạng (chẳng hạn như một tên miền).
• Khóa riêng , cho phép chủ sở hữu (và chỉ chủ sở hữu) ký điện tử các tin nhắn theo cách mà chúng có thể được xác minh bằng chứng chỉ trên.

Nếu bạn muốn có một chứng chỉ cho yourdomain.com, bạn:

• Tạo một khóa riêng / công khai và giữ phần riêng tư, tốt, riêng tư.
• Yêu cầu một bên thứ ba đáng tin cậy ("CrediCorp") tạo chứng chỉ cho yourdomain.comkhóa công khai của bạn.
• Chứng minh bằng một cách nào đó cho CrediCorp mà bạn kiểm soát yourdomain.com.
• Đặt khóa riêng và chứng chỉ thu được trên máy chủ của bạn và định cấu hình máy chủ web để sử dụng chúng.

Sau đó, nếu Alice truy cập yourdomain.com, trình duyệt của cô ấy nhận được chứng chỉ từ máy chủ web của bạn, cùng với một thông báo được ký bởi khóa riêng của bạn. Sau đó trình duyệt của cô kiểm tra ba điều:

• Chứng chỉ đã ký có thể được xác nhận bằng chứng chỉ của bạn (chứng minh rằng nó đã được ký bằng khóa riêng tương ứng chỉ yourdomain.comnên có).
• Rằng tên miền của chứng chỉ là miền mà trình duyệt đang cố truy cập ( yourdomain.com).
• Giấy chứng nhận đó là của CrediCorp.

Sự kết hợp của ba điều này đảm bảo cho Alice rằng cô ấy thực sự đang nói chuyện yourdomain.com, và không nói với một kẻ mạo danh nào đó ... Với điều kiện Alice tin tưởng vào CrediCorp .

(Cũng có một số điệu nhảy voodoo tiền điện tử để biến tính xác thực này thành tính bảo mật.)

Làm thế nào không Alice tin tưởng CrediCorp?

Đó là mấu chốt thực sự ở đây. Nói tóm lại, tại một số thời điểm, CrediCorp đã nói "Này, chúng ta sẽ làm chứng chỉ". Sau khi nỗ lực rất nhiều theo nhiều quy tắc , họ đã thuyết phục được một số người rằng CrediCorp thực sự đáng tin cậy và họ sẽ chỉ cấp chứng chỉ chính xác.

Cụ thể, họ đã thuyết phục được các nhà sản xuất, giả sử, Firefox. Do đó, CrediCorp có tên trong danh sách A của Firefox và các chứng chỉ của họ được Firefox tin cậy theo mặc định. Vì vậy, thực sự, Alice tin tưởng Firefox, Firefox tin tưởng vào CrediCorp và CrediCorp đã tin tưởng (sau khi xác minh) bạn khi bạn tuyên bố bạn đã kiểm soát yourdomain.com. Nó gần giống như một chuỗi .

Tuy nhiên, Firefox không chỉ tin tưởng vào CrediCorp để cấp chứng chỉ yourdomain.com, nó tin tưởng các chứng chỉ của CrediCorp cho bất kỳ miền nào . Và Firefox cũng tin tưởng ShabbyCorp, cho bất kỳ miền nào.

Điều này có hậu quả. Nếu ai đó quản lý để thuyết phục ShabbyCorp rằng họ kiểm soát yourdomain.com(vì ShabbyCorp không kỹ lưỡng), thì họ có thể lấy chứng chỉ ShabbyCorp cho yourdomain.combằng khóa riêng tương ứng. Và với chứng chỉ đó, họ có thể mạo danh máy chủ web của bạn. Rốt cuộc, họ có chứng chỉ (khóa cộng) cho yourdomain.comđiều đó được Firefox tin tưởng!

CrediCorp và ShabbyCorp là những gì được gọi là Chứng chỉ , CAs. Trong thế giới thực, ComodoSSL và Let Encrypt là những ví dụ về CA. Nhưng có rất nhiều trong số họ; như các văn bản này, Firefox tưởng 154 CA .

Whoa Nhưng làm thế nào mà trả lời câu hỏi của tôi?

Tôi là ehm, đến đó ...

Vấn đề là như thế này. Các cơ chế tôi nêu ở trên áp dụng cho tất cả các chứng chỉ. Nếu bạn có một chứng chỉ chính xác, đáng tin cậy cho trang web của mình, nó sẽ hoạt động. Không có gì đặc biệt về chứng chỉ Thương hiệu A so với chứng chỉ Thương hiệu B; tất cả chúng đều tuân theo cùng các yêu cầu CA và cùng một toán học tiền điện tử.

Và ngay cả khi bạn thích CrediCorp hơn - bởi vì bạn biết, họ nghe có vẻ đáng tin hơn nhiều - sử dụng chúng sẽ không thực sự giúp bạn. Nếu kẻ tấn công có thể thuyết phục ShabbyCorp cung cấp cho họ chứng chỉ cho trang web của bạn, kẻ tấn công có thể sử dụng chứng chỉ đó để mạo danh trang web của bạn, bất kể bạn lấy của bạn ở đâu.

Chừng nào Firefox tin tưởng ShabbyCorp, khách truy cập sẽ không thấy sự khác biệt. . Tại sao có, đó là đáng sợ, và nó có thể là những người chỉ trích lớn nhất có toàn bộ kế hoạch này. Tuy nhiên, đó là những gì chúng ta đang mắc kẹt.

Vấn đề là, nếu bạn không tin tưởng CA đưa ra các chứng chỉ "tốt", thì việc nhận chứng chỉ của bạn ở nơi khác sẽ không giúp bạn nhiều.

Gotcha, mọi thứ đều cam chịu như nhau. Không cẩn thận?

Cuối tuần ...

1. Hãy bắt đầu với việc giết điểm tôi đã làm trong phần cuối. Ngày nay, có thể khóa tên miền của bạn thành CA mà bạn chọn bằng DNS-CAA . Giả sử rằng bạn tin tưởng Comodo và không tin tưởng các CA khác, có thể yêu cầu tất cả các CA khác ngoài Comodo không cấp chứng chỉ cho tên miền của bạn. Về lý thuyết. (Vì DNS-CAA không được kiểm tra bởi các trình duyệt, chỉ bằng cách phát hành CA. Vì vậy, một CA bị xâm nhập có thể bỏ qua biện pháp bảo vệ này.)

   Nếu bạn sẵn sàng vượt qua rắc rối đó, thì câu hỏi sẽ trở thành: Liệu Encrypt có thực sự kém tin cậy hơn không? Hay kém an toàn? Đáng tin cậy là một khó khăn, làm thế nào để bạn định lượng điều đó? Tất cả những gì tôi có thể nói là trong nhận thức của mình, Let Encrypt không kém phần đáng tin cậy so với các CA khác. Về tính bảo mật của các xác nhận, chúng rất giống với những gì CA thương mại làm (đối với chứng chỉ DV dù sao). Xem thêm câu hỏi này .

   Để biết giá trị của nó: mạng StackExchange, trang web này là một phần của, hiện đang sử dụng chứng chỉ Encrypt. Hầu hết mọi người sẽ không bao giờ nhận thấy điều này, và nếu họ thực sự nghi ngờ liệu nó có ý nghĩa nhiều với họ không.

2. Để chứng chỉ có ý nghĩa, CA phát hành phải được các nhà cung cấp phần mềm tin cậy , nếu không chứng chỉ là vô ích. Tôi đã sử dụng Firefox làm ví dụ, nhưng thực sự bạn muốn CA được tin tưởng bởi ít nhất là các phiên bản hiện tại và cũ hơn của Firefox, Chrome, Windows, Mac OS X, iOS và Android. Và hàng tá người chơi nhỏ hơn. Các CA đáng xem xét (bao gồm ComodoSSL và Let Encrypt) được tất cả các thực thể này tin tưởng.

3. Nếu một CA hoạt động sai, hoặc bị tiết lộ là không đáng tin cậy, nó sẽ bị xóa khỏi các cửa hàng ủy thác khác nhau đủ nhanh để phá hỏng ngày của chủ sở hữu chứng chỉ. Hai ví dụ đáng chú ý mà tôi biết là DigiNotar và StartCom / WoSign (kiểm tra các bài báo, chúng cung cấp những hiểu biết thú vị về động lực tin cậy!). Vì vậy, nếu bạn nghĩ rằng Encrypt sẽ làm hỏng, hoặc sẽ bị loại bỏ vì một số lý do khác, việc không sử dụng chúng sẽ khiến bạn không bị rơi vào tình trạng rơi ra cụ thể đó.

4. Chứng chỉ sử dụng một số phép thuật toán điện tử ; câu hỏi là đó crypto toán ma thuật ? Nếu đó là ma thuật yếu thì sao? Đây thực sự là một mối quan tâm thực sự và các CA đã cho thấy họ cũng muốn nâng cấp điều này. May mắn thay, các nhà cung cấp trình duyệt đã chọn được sự chậm chạp bằng cách đặt mức tối thiểu ở đây để chứng chỉ được chấp nhận. Ví dụ: các chứng chỉ sử dụng RSA-1024 hoặc SHA-1 hiện bị hầu hết các trình duyệt từ chối, do đó, bất kỳ chứng chỉ nào hoạt động trong thực tế đều không sử dụng các nguyên hàm tiền điện tử không dùng nữa. Kết quả cuối cùng là, thật khó để bất kỳ CA nào (bao gồm cả Mã hóa) phải thất vọng về phần này nữa.

5. Trước đây, tôi ít nhiều nói rằng tất cả các chứng chỉ được tạo ra bằng nhau. Tôi nói dối, họ không. Cụ thể, những gì tôi đã thảo luận cho đến bây giờ là " Chứng chỉ xác thực tên miền (DV)", đó là những gì mà phần lớn các trang web sử dụng. Họ cung cấp một thước đo về sự chắc chắn rằng trình duyệt của bạn thực sự đang nói chuyện với tên miền mà nó hiển thị trong thanh URL. Ngoài ra còn có các chứng chỉ "Tổ chức xác thực (OV)" và " Xác thực mở rộng (EV)", yêu cầu kiểm tra công phu hơn nhiều từ các CA. Cụ thể, bạn chỉ có thể nhận được chứng chỉ EV cho somebank.com/ someBank Inc., nếu bạn thực sự có thể chứng minh bạn là someBank, Inc.

   Chứng chỉ EV tốn kém hơn rất nhiều (ballpark: hàng trăm EUR / USD mỗi năm) và chúng có thể được thưởng bằng một thanh URL hoặc ổ khóa màu xanh lá cây trong trình duyệt, có thể hiển thị "Một số ngân hàng, Inc." cũng. Trái với chứng chỉ DV, họ cũng đưa ra một số ý tưởng về việc trang web có thể thực sự thuộc về ai. Ưu điểm là, chúng có thể trông hợp pháp hơn. Sự thất vọng là, người dùng hiếm khi chú ý đến chúng, vì vậy hiệu quả của chúng bị hạn chế.

   Kẻ tấn công có chứng chỉ DV giả mạo vẫn có thể mạo danh trang web, chỉ cần không có đầu mối trực quan bổ sung, chứng chỉ EV có thể cung cấp và người dùng thường không nhận thấy sự khác biệt. Ngược lại, có thể lấy chứng chỉ EV sai lệch để lừa đảo dễ dàng hơn. Do đó, cả Chrome và Firefox sẽ bỏ những cái gật đầu trực quan vào chứng chỉ EV và một số người tin rằng chúng sẽ biến mất hoàn toàn.

   Nếu bạn là một ngân hàng, có lẽ bạn vẫn muốn có chứng chỉ EV cho đến bây giờ. Nếu không, không quá nhiều. Nhưng nếu bạn làm cần EV, Hãy Encrypt không phải dành cho bạn bởi vì họ chỉ đơn giản là tôi không cung cấp chứng chỉ EV.

6. Giấy chứng nhận chỉ có giá trị trong một thời gian giới hạn . Giấy chứng nhận từ một CA thương mại thông thường có xu hướng có giá trị trong một năm, nhưng tôi đã thấy bất cứ điều gì từ ba tháng đến ba năm. Chứng chỉ mã hóa của Let có hiệu lực trong 90 ngày , nằm ở phía ngắn của phạm vi đó, vì vậy bạn sẽ cần gia hạn chúng thường xuyên. Đối với người dùng Let Encrypt, điều này thường được tự động hóa để chứng chỉ được thay thế sau mỗi 60 ngày.

   Có thể tự động gia hạn với phần mềm có sẵn rộng rãi thực sự dễ chịu hơn so với hàng năm Oh shit chứng chỉ của tôi đã hết hạn? Đăng nhập của tôi tại CA là gì? Làm thế nào để nó hoạt động trở lại? nghi thức mà hầu hết các trang web nhỏ dường như kết thúc tại các CA thương mại.

7. Trước đây, tôi gọi điều đáng sợ là có rất nhiều CA chúng ta đều phải tin tưởng. Có nhiều CA cũng là một lợi thế, theo nghĩa là việc loại bỏ một CA khỏi các cửa hàng tin cậy của chúng tôi có tác động hạn chế đến người dùng. Cụ thể, việc trục xuất một CA duy nhất sẽ chỉ ảnh hưởng đến các chứng chỉ do một CA đó cấp. Nếu mọi người kết thúc bằng một CA duy nhất (điều mà một số người lo sợ có thể xảy ra với Let Encrypt ), chúng tôi sẽ tập trung tất cả niềm tin vào đó và mất đi những lợi thế của sự phân mảnh đó.

8. Và cuối cùng, có những lợi ích khác mà CA trả phí có thể mang lại, chẳng hạn như hỗ trợ thương mại hoặc bảo hành SSL hàng triệu đô la . Tôi có ít niềm tin vào cả hai khía cạnh này, nhưng chúng là những thứ mà Let Encrypt không cung cấp.

Đầu tôi đau ... Tôi có một câu hỏi, tôi nghĩ sao?

Sử dụng những gì bạn cảm thấy thoải mái với! Đối với chứng chỉ DV, có rất ít sự khác biệt thực sự của các CA khác nhau. Tôi sử dụng Let Encrypt cả chuyên nghiệp và riêng tư và tôi hài lòng với nó.

Thực sự chỉ có bốn lý do tiềm năng mà tôi thấy để tránh Let Encrypt:

• Nếu bạn cần chứng chỉ EV (hoặc OV).
• Nếu bạn không thể hoặc không muốn tự động gia hạn chứng chỉ và hiệu lực của chứng chỉ ba tháng là quá ngắn đối với bạn.
• Nếu bạn không tin tưởng Hãy mã hóa (nhưng hãy chắc chắn xem xét các biện pháp khác như DNS-CAA, và có lẽ bạn cũng nên đưa vào danh sách đen Hãy mã hóa trong trình duyệt của mình).
• Nếu bạn tin rằng Let Encrypt sẽ bị ngừng hoặc bị loại khỏi trình duyệt vì một số lý do.

Nếu không ai trong số họ áp dụng cho bạn, vui lòng không trả tiền cho chứng chỉ của bạn.

Let Encrypt vượt trội về nhiều mặt, bao gồm cả những cách bạn đã đề cập, chẳng hạn như:

1. Nó miễn phí. Khó có thể vượt qua điều đó.
2. Nó có tính năng tự động gia hạn (tuy nhiên tôi chắc chắn rằng nó không độc quyền với Encrypt, tuy nhiên)
3. Nó khá dễ cài đặt.
4. Google hỗ trợ nó như một SSL đã ký, đây là một vấn đề rất lớn khi nói đến SEO và bảo mật.

Tuy nhiên, có một vài khuyết điểm.

1. Hệ thống xác minh hoạt động để đảm bảo rằng, bạn, sở hữu trang web, không tương thích với một số máy chủ trang web, tôi đã rất đau đầu khi cố gắng để Let Encrypt hoạt động trên InfinityFree và tôi đã chấp nhận số phận rằng tôi không thể làm điều đó.
2. Bạn không nhận được bất kỳ loại bảo hiểm nào có nội dung "Nếu điều này bị phá vỡ, chúng tôi sẽ giúp bạn ra ngoài" vì đó là nguồn mở, bạn sẽ tự mình làm việc nếu Encrypt Encrypt không hoạt động hoặc bằng cách nào đó bị bẻ khóa.

Chứng chỉ LetsEncrypt là tuyệt vời. Tôi sử dụng chúng cho mình thay vì mua chứng chỉ. Có một vài nhược điểm:

• Chứng chỉ LetsEncrypt chỉ tồn tại trong 3 tháng. Hầu hết các chứng chỉ mua là tốt trong một hoặc hai năm. Điều đó có nghĩa là bạn hoàn toàn cần một quy trình tự động tại chỗ để gia hạn chứng chỉ của mình hoặc nó sẽ quá dễ quên.
• LetsEncrypt chỉ cung cấp loại chứng chỉ xác thực thấp nhất. Xác thực tên miền (DV) chỉ xác nhận rằng chủ sở hữu chứng chỉ có quyền kiểm soát tên miền. Chứng chỉ Xác nhận Tổ chức (OV) cũng kiểm tra tài liệu của người hoặc công ty yêu cầu chứng chỉ. Chứng chỉ xác thực mở rộng (EV) yêu cầu kiểm tra thêm. Chứng chỉ của bạn càng tốt, càng khó bị giả mạo và tính xác thực của trang web của bạn càng được tin cậy vì nó. Trong thực tế, các trình duyệt chỉ gật đầu trực quan với EV certs, thường hiển thị một cái gì đó màu xanh lá cây trong thanh địa chỉ cho họ. Cho đến thời điểm này, hầu hết người dùng không biết hoặc quan tâm đến các mức xác nhận khác nhau.
• Chứng chỉ thẻ hoang dã khó hơn một chút để lấy từ LetsEncrypt. Từ những nơi khác, bạn thường chỉ phải trả nhiều tiền hơn. LetsEncrypt yêu cầu xác thực DNS cho chứng chỉ ký tự đại diện.

Trong lịch sử, chứng chỉ bảo mật luôn có giá. Các công ty khác đã cung cấp chứng chỉ miễn phí đã đến và đi. Tôi đã từng sử dụng StartSSL, cung cấp một chứng chỉ miễn phí tên miền duy nhất cho đến khi họ làm một số thứ mờ ám và trình duyệt ngừng tin tưởng vào chứng chỉ của họ. LetsEncrypt có ít giới hạn hơn các nhà cung cấp chứng chỉ miễn phí trước đây và tự động hơn rất nhiều. Nó cũng có một số người hỗ trợ lớn như EFF, Mozilla, Chrome và Cisco. Xem https://letsencrypt.org/sponsors/ Nó dường như đủ chạy mà tôi mong đợi nó sẽ tồn tại trong nhiều năm.

Không phải mọi thứ đều có thể sử dụng tự động gia hạn

CertBot giúp dễ dàng sử dụng cho các trang web ... nhưng nếu bạn đang sử dụng chứng chỉ cho những thứ khác thì sao?

Chúng tôi có một máy chủ LDAP mà trang web của chúng tôi xác thực. Nó chạy qua một cổng an toàn, nhưng nó cần một chứng chỉ đã ký để chạy. Tôi có thể sử dụng chứng chỉ ký tự đại diện miễn phí ... nhưng điều đó có nghĩa là chuyển đổi chứng chỉ sang PKCS12 cứ sau 3 tháng (máy chủ web sử dụng PEM) và sau đó nhập chứng chỉ mới. Ồ, và tường lửa mạng của chúng tôi cũng sử dụng PKCS12. Đó là rất nhiều rắc rối miễn phí.

Câu trả lời đơn giản cho điều này là nhiều quản trị web chỉ không muốn làm những việc này mà không cần thiết phải tiêu tốn thời gian quý báu của họ. Trong trường hợp letencrypt, nó dễ sử dụng và miễn phí nhưng bạn phải nhớ và cài đặt lại chứng chỉ sau mỗi 3 tháng. Nếu bạn không hoặc chỉ quên làm điều đó thì trang web của bạn sẽ hiển thị lỗi 404 cho khách truy cập và công cụ tìm kiếm của bạn.