הצהרת אחריות: תשובה זו מגיעה ישירות ממאמר eHow. אין הכוונה להפרה.

אישורי SSL לאימות דומיין

אישורי SSL מאומתים באמצעות דומיין משמשים לקביעת רמת אמון בסיסית עם אתר ולהוכיח שאתה מבקר באתר שאליו אתה מבקר. חושב שאתה מבקר. אישורים אלה מונפקים לאחר שמנפיק ה- SSL מאשר כי הדומיין תקף ונמצא בבעלות האדם המבקש את האישור. אין צורך להגיש ניירת כלשהי של החברה כדי להשיג אישור SSL לאימות דומיינים, וניתן להנפיק תעודות SSL מסוג זה במהירות רבה. החיסרון של אישורים מסוג זה הוא שכל אחד יכול להשיג אותם, והם אינם מחזיקים במשקל אמיתי פרט לאבטחת תקשורת בין דפדפן האינטרנט שלך לשרת האינטרנט.

אישורי SSL לאימות ארגון

תעודת SSL לאימות ארגון מונפקת לחברות ומספקת רמת אבטחה גבוהה יותר על אישור SSL של אימות תחום. תעודת אימות ארגון מחייבת לאמת פרטי חברה מסוימים יחד עם פרטי התחום והבעלים. היתרון של אישור זה על פני אישור אימות דומיין הוא בכך שהוא לא רק מצפין נתונים, אלא הוא מספק רמה מסוימת של אמון כלפי החברה שבבעלות האתר.

אישורי SSL של אימות מורחב

אישור SSL לאימות מורחב הוא תעודת SSL "בראש השורה". השגת אחת כזו מחייבת שחברה תעבור תהליך בדיקה כבד, ויש לאמת את כל פרטי החברה כאותנטיים ולגיטימיים לפני הוצאת האישור. בעוד שאישור זה עשוי להיראות דומה לתעודת SSL של אימות ארגון, ההבדל העיקרי הוא רמת האימות והאימות המתבצעת על בעל הדומיין ועל החברה שמבקשת את האישור. רק חברה שעוברת חקירה יסודית רשאית להשתמש בתעודת SSL של אימות מורחב. אישור מסוג זה מוכר על ידי דפדפנים מודרניים ומסומן על ידי פס צבעוני בחלק ה- URL של הדפדפן.

בנוסף, ל- OV לעומת EV יש השפעה גם מבחינת סכומי הביטוח ב מקרה של פשרה. פרמיית הביטוח עבור רכב EV גבוהה הרבה יותר מאשר עם רכב OV.

קרא עוד / מקורי: מיקי וולבורג, הבדלים בתעודות SSL | eHow.com

מה שאתה צריך לנסות להעריך הוא איך המשתמש שלך הולך להגיב ולבדוק את האישור שלך. אני מניח שקהל היעד באתר שלך אינו בהכרח מומחה או מומחה PKI. כיצד המשתמשים שלך יגיבו יהיה תלוי במה שהם למדו על תעודות. למרבה הצער, יש הרבה מידע סותר או מעורפל בנושא זה שם, אפילו שמקורו בעצמם CA (זכרו שלע"מ יש אינטרס אינטרס לגרום ללקוחות שלהם לרצות לרכוש תעודות יקרות יותר).

מצבי אימות

לוקאס קאופמן כבר כתב תשובה המפרטת את ההבדל בין סרטי אימות תחום. , תעודות מאומתות ארגון ותעודות אימות מורחבות. השאלה האמיתית שאתה צריך לשאול את עצמך היא מה אתה מנסה להוכיח למשתמש.

ההבדל בין סוגים אלה של אישורים מגדירים את אותה זהות.

האישורים מאומתים הדומיין מבטיחים לך שהאישור הונפק לבעלים של אותו דומיין. לא יותר, אבל לא פחות (אני מניח שהליך האימות היה נכון כאן). במקרים רבים זה מספיק. הכל תלוי אם האתר שאתה מקדם צריך להיות מקושר למוסד שכבר לא ידוע באופן מקוון. אישורים המאומתים מול ארגון (תעודות OV ו- EV) שימושיים בעיקר כאשר אתה צריך לקשור את התחום גם לארגון פיזי.

לדוגמה, זה שימושי עבור מוסד שהיה ידוע בתחילה באמצעות בניין (למשל בנק אוף אמריקה) כדי להיות מסוגל לומר שאישור עבור bankofamerica.com אכן מיועד למקום בו נתת את הכסף הפיזי שלך. במקרה זה, הגיוני להשתמש בתעודת OV או EV. זה יכול להיות שימושי גם אם יש עמימות לגבי איזה מוסד עומד מאחורי שם הדומיין (למשל apple.com ו- apple.co.uk ), וזה חשוב עוד יותר הוא שם התחום הדומה נמצא בבעלות יריב / תוקף המשתמש בדמיון השם למטרות גרועות.

לעומת זאת, www.google.com הוא מה מגדיר את גוגל לציבור; לגוגל אין צורך להוכיח ש google.com שייך לגוגל האמיתי. כתוצאה מכך הוא משתמש באישור מאומת דומיין (אותו הדבר עבור amazon.com).

שוב, זה ממש שימושי אם המשתמש יודע לבדוק זאת. דפדפנים לא ממש עוזרים כאן. פיירפוקס פשוט אומר "שמנוהל על ידי (לא ידוע)" אם אתה רוצה פרטים נוספים על תעודת זהות בכתובת www.google.com , מבלי לומר באמת מה הכוונה בזה.

אישורי אימות מורחב הם ניסיון לשפר זאת על ידי הקפדה על הליך אימות הארגון ועל ידי הפיכת התוצאה לגלויה יותר: סרגל ירוק וארגון גלוי יותר.

למי שעוקב אחר החדשות הכספיות, זה הגיוני מכיוון שגם RBS וגם NatWest שייכים לאותה קבוצה, אך מבחינה טכנית, RBS ו- NatWest הם מתחרים (ולשניהם סניפים ברחוב הראשי בבריטניה - אם כי זה הולך אם למשתמש שלך אין את הידע הנוסף הזה לגבי אילו קבוצות נסחרות תחת איזה שם, העובדה שמונפק אישור לשם של מתחרה פוטנציאלי צריכה להתקשר בפעמוני אזעקה. אם כמשתמש ראית אישור ב- gooooogle.com שהונפק למיקרוסופט או יאהו, אולם הסרגל ירוק ככל שיהיה, אתה לא צריך להתייחס לזה כאל האתר של גוגל.

אחד יש לזכור עם אישורי EV היא שהתצורה שלהם מקודדת בדפדפנים. זוהי הגדרה מסוג הידור, שלא ניתן להגדיר אותה בהמשך (בניגוד לחנויות אישורים מהימנות רגילות, בהן תוכל להוסיף תעודת CA מוסדית משלך, למשל). מנקודת מבט צינית יותר, יש שיכולים להחשיב זאת כדרך נוחה עבור השחקנים העיקריים לשמור על מעמדה חזקה בשוק.

חותמות

חלק מקבוצות הרשות מציעות גם שונות " חותמות "שתוכלו להכניס לאתר שלכם, בדרך כלל עם צבעים שונים בהתאם לסוג האישור שרכשתם. נראה שהם נועדו כצעד נוסף למניעת רשויות בעלות שם פחות מוכרות להנפיק תעודה תקפה לצד הלא נכון.

עד כמה שידוע לי, אלה חסרי תועלת לחלוטין מבחינה ביטחונית. ואכן, כאשר תלחץ עליו כדי לאמת את האישור שלך (לדוגמה, אם תלחץ על הלוגו "מאמת מאובטח" של GoDaddy, בסופו של דבר אתה נמצא על דף זה ), שום דבר לא אומר לך שהאישור שאתה רואה זהה לזה שנשלח לשירות שמאחורי seal.godaddy.com . אכן, אם היה בינך לבין example.com תוקף MITM, עם אישור תקף אחר ל- example.com שהונפק על ידי CA מרושל, התוקף MITM לא היה בין example.com ו- seal.godaddy.com . אלא אם כן המשתמש באמת יסתכל על האישור בפירוט, החותם לא היה עוזר מאוד (תוך התחשבות בכך שהתוקף יכול פשוט להסיר את קישור החותם או להפנות אותו אל אחד מה- CA השני).

ביטוחים

תעודות מסוימות מגיעות גם עם ביטוח כלשהו. היית מקבל פיצוי כלשהו אם משהו ישתבש במהלך עסקה עד לסכום מוגבל. לא ברור לי מה יהיו התנאים לתבוע ביטוח כזה.

באיזה אחד לבחור?

בסופו של יום, רוב המשתמשים שומרים על רשימת ברירת המחדל של רשות האישורים המהימנה. אישורים שמצורפים למערכת ההפעלה או לדפדפן שלהם. מכיוון שממשק המשתמש אינו מבחין בין רשימות CA בצורה ברורה מאוד, האבטחה הכוללת כפי שהיא נראית על ידי המשתמש (שאחריותו לבדוק את האישור) תונע על ידי המכנה המשותף הנמוך ביותר בכל קטגוריה (פס כחול וירוק).

אם חשוב לקשור את שם הדומיין לארגון "לבנים וטיח", כדאי לשקול תעודת EV. אני באופן אישי לא חושב שהאופן שבו ממשקי משתמש מבחינים בין סרטי DV ו- OV הוא מספיק טוב כדי להפוך את הצגת שם הארגון בסרגל כחול למועיל.

אם הדומיין שלך מוכר בעיקר (או אם אין כלל עמימות שהדומיין הוא שלך, מנקודת מבטו של המשתמש), עבור לכל תעודת סרגל כחול. (בדוק את פרטי הביטוח אם זה רלוונטי לאתר שלך.)

הנקודה החשובה היא שהמטרה (היחידה) של אישור SSL היא לאמת את זהות השרת שאיתו אתה מתקשר.

כל מה שקשור להצפנה ואבטחת החיבור מתנהל בין הדפדפן והשרת ללא תלות באישור. כל עוד המפתח המוטמע בתעודה גדול דיו ואינו נפגע, החיבור שלך מאובטח באותה מידה עם אישור בחינם כמו עם אישור של $ 2000.

מחיר האישור משקף (או לפחות צריך לשקף) את כמות הבדיקות שהחברה המנפיקה ביצעה כדי לוודא שאתה רשאי לקבל את האישור הזה.

ערוך

תעודות עוסקות באמון ולא בביטחון. זו הבחנה עדינה, אך חשובה. אני מאובטח לחלוטין עם אישור בחתימה עצמית כל עוד אוכל לאמת את המפתח. במקרה כזה, תעודת EV אינה מציעה הגנה נוספת עבורי ולו במעט. אבל מה עם אנשים אחרים? אני יודע מבעוד מועד איזה מפתח לסמוך, אבל הם לא. זהו תפקידו של רשות אישורים.

כל רשות האישורים המהימנה בציבור מחייבת אותך לאמת בעלות על הדומיין שלך לפני הנפקת אישור, כך שבמובן זה אישור Verisign בסך $ 2000 שווה לתעודת Startcom בחינם. אבל זה רק חצי מהסיפור.

זוכרים את המקרה המוזר של Mountain America Credit Union? התוקפים הצליחו להתייצב כבנק ולקבל אישור SSL מאקיפיפקס, חותם רשמי מהחברה המנפיקה, אינדיקטור של ChoicePoint המאמת את המיקום (והנחלת החוקיות) של החברה - הכל נקי, חוקי ומונפק כהלכה. הסוד שלהם? הבנק משתמש בשם התחום macu.com , בעוד שתוקפים אלה השתמשו בשם mountain-america.net . כשהם הגישו בקשה לתעודה הם לא אמרו שהם בנק (שהיה מניף דגלים אדומים), אלא הקימו אתר תמים למראה לחלוטין. זה יכול היה להיות משהו כמו מגפי הליכה או בקבוקי מים או בלוג על מגורים בהרים. מי יודע. אך הם שינו אותו בכדי לשכפל את אתר קרדיט יוניון לאחר הוצאת האישורים.

תיאורטית, זה בדיוק סוג ההתקפה שאישור EV אמור להישמר מפניה. זה צריך להיות הרבה יותר קשה להשיג תעודת EV באמצעות זהות בדויה או על בסיס חברה לא קיימת. כנראה לא בלתי אפשרי, אבל תיאורטית קשה יותר. אז ככל הנראה אם ​​יתברר כהונאה, לפחות יש לך את הכתובת של העבריין .. או אז אתה מקווה.

העניין הוא שכשאתה מוכר אמון בקנה מידה גדול זה קשה כדי לשמור על ניקיון המוצר שלך. הפרות כמו פיאסקו של הר אמריקה מתרחשות, אפילו עם כל הבדיקות והבדיקות שאתה יכול לזמן, מכיוון שברגע שהאישור הונפק, המשתמש יכול לשנות את סיפורו.

אולי תכונת האבטחה החשובה ביותר של תעודה בסך $ 2000. הוא המחיר עצמו. כתוב שם, "האדם הזה שילם 2000 דולר עבור האישור הזה". יש להניח שמי שמתכוון להשתמש בו לרוע יבחר במקום זאת בחלופה זולה יותר. זה קצת טיפשי, אבל כנראה גם נכון.

בעיקר ישנם 3 סוגים של אישורי SSL:

(1) אישורי SSL לאימות דומיין

• יש פחות הליך אימות קפדני.
• רק שם המבקש ופרטי יצירת הקשר נבדקים ומאומתים באמצעות הנתונים שהוזנו במהלך ההרשמה.
• הגורם הלגיטימי אינו נבדק, ולכן זהו מעולה לאתרים מקוונים או לעסקים שאינם מעבירים או עוסקים בנתונים רגישים מאוד.
• הם קשורים ישירות לשם הדומיין, ובכך הוא מבטיח למשתמשים לגבי האותנטיות של האתר; עם זאת, זה לא מעודד אזהרות דפדפן.

(2) אישור SSL מאומת מורחב

• הושק בשנת 2007, אחד הפרוטוקולים הראשונים שעוקבים בקפדנות אחר הנחיות התעשייה.
• בקשת ההסמכה ותהליך האימות הם קפדניים ביותר.
• כל אישורי עסקי מאומתים בקפידה ובדקה.
• עבור אתרים המשתמשים בפרוטוקול זה, דרך להבטיח אם האתר מוגן או לא היא לבדוק את חלון הניווט בדפדפן. הוא הופך לירוק אם האתר בטוח והופך לאדום עם תחילת הסכנה.
• זה עוזר לשמור על סטנדרט אבטחה גבוה, ומאמת את האותנטיות של העסק.

(3) אישור SSL אימות ארגוני

• נבדקת הלגיטימיות של העסק של המבקש.
• הוא פועל לפי הליך אימות קפדני, ו מאמת כמעט את כל המידע של העסק.
• זו אפשרות מצוינת לעסקים מקוונים העוסקים במידע חסוי במיוחד.

^{(מקור : Buzzle)}

לדיון זה ישנם שני צדדים.

הראשון הוא עד כמה CA יגיע להבטיח שאתה בעצם מי שאתה טוען שאתה.

השני הוא כמה תכונות מתקדמות יותר ש- CA תומך בהן.

שתיהן חשובות ... CA שייתן לך תעודה עם כל התכונות החדשות ביותר אך לא יבדוק שהזיהוי שלך חסר תועלת וכך גם אחד שיבדוק אותך היטב אבל הוצא רק תעודה עם תכונות שהיו מיושנות לפני 5 שנים.