Mit anderen Worten, wie hoch wäre das Sicherheitsrisiko, wenn Zertifikate mit öffentlichem Schlüssel nicht von Zertifikatautoritäten signiert werden (aus Anwendersicht)? Ich meine, die Daten sind immer noch verschlüsselt ... Was könnte ein Mann in der Mitte mit einem nicht signierten Zertifikat machen?
security
ssl-certificate
https
encryption
Olivier Lalonde
quelle
quelle
Antworten:
Der Zweck von SSL bei Verwendung mit HTTP besteht nicht nur darin, den Datenverkehr zu verschlüsseln, sondern auch zu authentifizieren, wer der Eigentümer der Website ist, und dass jemand bereit war, Zeit und Geld in den Nachweis der Authentizität und des Eigentums seiner Domain zu investieren.
Es ist wie beim Kauf einer Beziehung, nicht nur bei der Verschlüsselung, und die Beziehung vermittelt oder setzt ein gewisses Maß an Vertrauen voraus.
Trotzdem habe ich vor einigen Monaten eine ähnliche Frage gestellt , und die grundlegende Antwort, die zurückkam, war "SSL ist ein bisschen ein Betrug".
quelle
Stellen Sie sich eine Situation vor, in der Sie einer Person namens John Smith, mit der Sie noch nie etwas getroffen oder kommuniziert haben, 1.000.000 US-Dollar liefern sollen. Ihnen wird gesagt, dass Sie ihn an einem überfüllten öffentlichen Ort treffen können. Wenn Sie ihn treffen, brauchen Sie einen Weg, um sicherzugehen, dass er tatsächlich die Person ist, nach der Sie suchen, und nicht irgendeine andere zufällige Person, die behauptet, John Smith zu sein. Sie könnten nach einem Regierungsausweis fragen, einer Visitenkarte. Sie können eine Person Ihres Vertrauens, die den John Smith tatsächlich getroffen hat, um Hilfe bei der Identifizierung bitten.
Ein selbstsigniertes Zertifikat identifiziert ein System eindeutig, beweist jedoch nicht, dass das System das ist, für das es sich ausgibt. Ich kann ein Zertifikat einfach selbst signieren und behaupten, serverfault.com, google.com oder yourbank.com zu sein. Zertifizierungsstellen fungieren im Wesentlichen als Dritte, denen der Client vertraut, um zu überprüfen, ob ein Zertifikat tatsächlich für den Namen gültig ist, den die Site angeblich besitzt.
quelle
Das SSL-Geschäft ist in der Tat ein Betrug. Mehr als ein bisschen, wenn Sie für einige kryptografisch interessante Daten etwa 20 Pence pro Byte bezahlen. Was Sie bezahlen, ist für jede Zertifizierungsstelle, mit der Sie Ihr Zertifikat mit einem ihrer privaten Schlüssel signieren, nachdem Sie sich selbst bewiesen haben, dass Sie tatsächlich berechtigt sind, den Domain- / Hostnamen zu verwenden, für den das Zertifikat bestimmt ist. Wie Farseeker sagt, handelt es sich um eine Vertrauensbeziehung - die Zertifizierungsstelle vertraut Ihnen (nachdem sie Sie überprüft hat), die Webbrowser der Welt vertrauen der Zertifizierungsstelle (normalerweise), und daher vertrauen die Webbrowser der Welt Ihrem Zertifikat. Und lassen Sie mich nicht mit der erweiterten Validierung beginnen ...
quelle