Mengapa sertifikat kunci publik server web harus ditandatangani oleh otoritas sertifikat?

9

Dengan kata lain, apa risiko keamanan dari tidak menandatangani sertifikat kunci publik oleh otoritas sertifikat (dari perspektif pengguna)? Maksudku, data masih dienkripsi ... Apa yang bisa dilakukan seorang pria di tengah dengan sertifikat yang tidak ditandatangani?

— Olivier Lalonde
sumber

Mereka dapat menghasilkan sertifikat mereka sendiri dengan informasi yang persis sama. Bagaimana cara pengguna membedakannya?

— pjc50

@ pjc50: dengan melihat jalur sertifikat. Sertifikat yang tidak ditandatangani sendiri akan memiliki jalur sertifikat. Jika jalur ini mengarah ke root tepercaya maka sertifikat tersebut tepercaya, jika tidak, berarti tidak. Anda tentu saja dapat menambahkan root tepercaya sendiri (saya telah melakukan ini untuk CA saya sendiri sehingga saya dapat dengan mudah membuat sertifikat untuk penggunaan lokal).

— Richard

13

Tujuan SSL ketika digunakan dengan HTTP tidak hanya untuk mengenkripsi lalu lintas, tetapi juga untuk mengautentikasi siapa pemilik situs web tersebut, dan bahwa seseorang bersedia menginvestasikan waktu dan uang untuk membuktikan keaslian dan kepemilikan domain mereka.

Ini seperti membeli suatu hubungan, bukan hanya enkripsi, dan hubungan itu menanamkan, atau mengasumsikan, tingkat kepercayaan tertentu.

Yang mengatakan, saya mengajukan pertanyaan serupa beberapa bulan yang lalu, dan jawaban dasar yang muncul kembali adalah "SSL sedikit scam"

— Mark Henderson
sumber

Saya pikir sertifikat SSL dikeluarkan untuk IP, bukan domain. Mengapa Anda memerlukan sertifikat berbeda untuk domain yang dihosting di IP yang sama? Lebih lanjut, halaman Wikipedia tentang HTTPS menyebutkan adalah mungkin untuk mendapatkan sertifikat secara gratis ... Bisnis CA benar-benar terdengar seperti penipuan bagi saya.

— Olivier Lalonde

2

Sertifikat diterbitkan untuk domain. Tidak ada yang mencegah Anda membuat sertifikat yang ditandatangani sendiri, itu hanya akan memunculkan peringatan menakutkan (bahwa orang tidak akan membaca) karena browser tidak mempercayai CA yang menerbitkan. Masalah "beberapa SSL pada Satu IP" telah dibahas berkali-kali di sini. Inilah utas dengan jawaban yang baik serverfault.com/questions/73162/…

— Zypher

Terima kasih Zypher, Anda mengeluarkan kata-kata dari mulut saya :) Dan sertifikat untuk domain, bukan IP. Kami memiliki tiga alamat IP untuk tiga server yang melayani situs web terberat kami, dan semuanya memiliki sertifikat yang sama.

— Mark Henderson

8

Bayangkan sebuah situasi di mana Anda harus mengirimkan $ 1.000.000 kepada seseorang bernama John Smith yang belum pernah Anda temui atau komunikasikan. Anda diberi tahu bahwa Anda dapat bertemu dengannya di lokasi umum yang ramai. Ketika Anda pergi untuk bertemu dengannya, Anda perlu cara untuk memastikan bahwa dia sebenarnya adalah orang yang Anda cari, dan bukan orang acak lainnya yang mengaku sebagai John Smith. Anda mungkin meminta beberapa ID pemerintah, kartu nama. Anda dapat meminta seseorang yang Anda percayai yang sebenarnya telah bertemu dengan John Smith untuk membantu mengidentifikasi dirinya.

Sertifikat yang ditandatangani sendiri secara unik mengidentifikasi suatu sistem, tetapi tidak melakukan apa pun untuk membuktikan bahwa sistem itu adalah yang diklaimnya. Saya dapat dengan mudah menandatangani sendiri sertifikat dan mengklaim sebagai serverfault.com, google.com, atau yourbank.com. Otoritas Sertifikat pada dasarnya bertindak sebagai pihak ketiga yang dipercaya oleh klien untuk memverifikasi sertifikat yang benar-benar berlaku untuk nama yang diklaim oleh situs tersebut.

— Sakit kepala
sumber

2

Bisnis SSL memang sedikit penipuan. Lebih dari sedikit, pada kenyataannya, ketika Anda membayar sekitar 20 p per byte untuk beberapa data yang menarik secara kriptografis. Apa yang Anda bayar adalah untuk CA mana pun yang Anda gunakan untuk menandatangani sertifikat Anda dengan salah satu kunci pribadi mereka setelah membuktikan kepada diri sendiri bahwa Anda memang berhak menggunakan domain / nama host yang menjadi tujuan sertifikat itu. Seperti yang dikatakan Farseeker, ini adalah hubungan saling percaya - CA mempercayai Anda (setelah mereka memeriksa Anda), peramban web dunia mempercayai CA (biasanya), dan karenanya peramban web dunia akan mempercayai sertifikat Anda. Dan jangan mulai saya tentang Validasi Diperpanjang ...

— RainyRat
sumber