Chứng chỉ SSL miễn phí có an toàn không?

11

Làm thế nào mà một số chứng chỉ SSL là miễn phí? Điều đó nghĩa là gì? Họ có an toàn hay không?

https security-certificate

— aneuryzm
nguồn

5

Lý do duy nhất khiến các công ty tính phí cho chứng chỉ SSL là họ dành thời gian và công sức để tạo chứng chỉ và mong muốn được trả tiền cho công việc của họ (tất nhiên là có lãi). Nhưng họ không phải trả phí nếu họ không muốn giống như bất kỳ nhà cung cấp dịch vụ miễn phí nào có thể làm. Điều quan trọng với chứng chỉ SSL là liệu các nhà sản xuất trình duyệt lớn có công nhận nhà phát hành chứng chỉ là đáng tin cậy hay không. Nếu họ làm trình duyệt sẽ hiển thị trang web an toàn giống như bất kỳ nhà cung cấp được công nhận nào khác. Nếu họ không cố gắng truy cập một trang web được bảo mật bởi chứng chỉ không được nhận dạng sẽ thấy cảnh báo cho họ biết rằng chứng chỉ không được công nhận và cảnh báo họ không được tiếp tục.

Vì vậy, câu hỏi thực sự là, "cung cấp miễn phí nào được công nhận bởi các nhà sản xuất trình duyệt lớn là có thẩm quyền"?

— John Conde
nguồn

Nói cách khác, chúng là các chứng chỉ bảo mật, chỉ không được "xác minh" từ nhà cung cấp chứng chỉ phát hành, vì đó là chứng chỉ tự tạo. Làm cho tôi tự hỏi tại sao các máy chủ web không thể xác minh chứng chỉ. Nhưng một lần nữa, tôi đoán họ sẽ không tạo ra $$$ theo cách của họ, phải không?

— Talvi Watia

Chính trình duyệt của bạn sẽ xác định tính hợp lệ của chứng chỉ mà máy chủ xuất trình. Chứng chỉ tự ký sẽ tạo ra một kết nối an toàn, nhưng nó sẽ không xác thực máy chủ thuộc sở hữu của người mà họ tuyên bố là, đó là những gì các cơ quan chứng nhận dành cho, và họ tính phí cho quá trình xác minh và chứng nhận chứng chỉ máy chủ đang trình bày

— danivovich

2

@Talvi: Trò đùa tốt! ... Đợi đã, đó là một trò đùa, phải không? Chứng chỉ được sử dụng để xác minh danh tính của máy chủ, trong số những thứ khác. Hỏi một chứng chỉ giống như hỏi ID của ai đó: "Tên bạn là gì? Joe Blow. Bạn có thể cho tôi xem một số ID không? Chắc chắn." Sau đó, anh chàng lấy một tờ giấy, viết "Joe Blow" và đưa nó cho bạn. Đây, đây là ID của tôi. Vì vậy, bạn nhìn vào nó và bạn nói "À, được rồi. Nếu nó nằm trên một tờ giấy thì nó phải là sự thật ... Một máy chủ sản xuất chứng chỉ của chính nó cũng khá giống nhau." Bạn có phải là máy chủ phù hợp cho ngân hàng của tôi? "" Vâng. Đây không phải là những người bạn đang tìm kiếm "

— Sylver

2

@Sylver Bạn nghĩ có sự thay thế nào? Đó chỉ là vấn đề bạn đặt niềm tin vào đâu: "Tên bạn là gì? Joe Blow. Bạn có thể cho tôi xem một số ID không? Chắc chắn." Anh chàng giới thiệu người bạn của mình, Very Sign, người lấy một ít giấy, viết "Joe Blow" và đưa nó cho bạn. Đây, đây là ID của tôi. Vì vậy, bạn nhìn vào nó và bạn nói "À, được rồi. Nếu nó nằm trên một tờ giấy thì nó phải là sự thật ... Các đặc tính nhận dạng của chứng chỉ thực sự chỉ là lợi ích phụ của kỹ thuật mã hóa. Hãy kiểm tra người ký giấy chứng nhận cho verisign.com

— robertc

1

@robert: Chính xác, ngoại trừ Dấu hiệu Veri không phải là bạn của Joe Blow. Verisign là một công ty được quy định có hoạt động kinh doanh chính là chứng thực danh tính của mọi người. Hộ chiếu hoặc chứng minh nhân dân chỉ là một mảnh in ấn trên giấy ưa thích, nhưng chúng tôi chấp nhận vì chúng tôi tin rằng nó được cấp bởi một cơ quan đáng tin cậy đã kiểm tra danh tính của người nộp đơn, vì có những hình phạt nghiêm trọng cho hàng giả và vì họ không dễ dàng để giả mạo ngay từ đầu. Để có được chứng chỉ từ Verisign, trước tiên họ sẽ kiểm tra xem bạn có hợp pháp không. ...

— Sylver

4

Hãy xem Wikipedia để so sánh tốt các dịch vụ SSL. Có vẻ như startcom có dịch vụ chứng nhận SSL miễn phí được IE, FF và Safari công nhận.

Tôi nghi ngờ có những dịch vụ tương tự khác xung quanh. Vấn đề chính là tìm các nhà cung cấp được hỗ trợ bởi các trình duyệt hiện đại. Có một trình duyệt cảnh báo người dùng rằng chứng chỉ không đáng tin cậy còn tệ hơn là không có chứng chỉ nào cả, từ POV của chuyển đổi và bán hàng.

— Linh hồn
nguồn

Giấy chứng nhận StartCom không còn đáng tin cậy bởi các trình duyệt chính: Giấy chứng nhận StartSSL cho SEC_ERROR_REVOKED_CERTIFICATE trong Firefox và ERR_CERT_AUTHORITY_INVALID trong Chrome

— Stephen Ostermiller

Trang web Wikipedia bị xóa. Bạn có thể thêm một cái mới ở đó không?

— Léo Léopold Hertz

0

Cơ sở hạ tầng khóa công khai phụ thuộc vào bên thứ ba đáng tin cậy sẽ xác minh và sau đó có thể xác nhận danh tính của bạn.

Khi bạn trả cho một cơ quan chứng nhận chính như Verisign cho một chứng chỉ, bạn đang trả tiền cho danh tiếng của họ như một bên thứ ba có uy tín và đáng tin cậy có thể chứng thực tính hợp lệ của chứng minh thư và chứng chỉ của bạn. Từ quan điểm thực tế, điều đó có nghĩa là các trình duyệt chính được cấu hình sẵn để chứng nhận tin cậy được ký bởi các cơ quan đó.

Tôi có thể tạo chứng chỉ miễn phí cho bạn, nhưng nó sẽ tương đối vô giá trị, vì không ai biết tôi là ai và vì vậy sự chứng thực của tôi không mang lại cho họ sự tự tin.

— lukecyca
nguồn

0

Ngay cả các cơ quan cấp chứng chỉ lớn như verisign, globalalsign, COMODO cung cấp phiên bản chứng chỉ SSL miễn phí trong thời gian dài vì chúng cho chúng tôi cơ hội tin tưởng và định giá sản phẩm của họ.

— dấu
nguồn