Mengapa kita tidak bisa memperlakukan Sertifikat SSL seperti kunci Pgp alih-alih mempercayai CA? [Tutup]

Saya bodoh dan bodoh dan saya tidak tahu semua aspek teknis dari SSL dan implikasi dan implementasi sisi server / klien. Namun saya mengerti mereka cukup baik dari sudut pandang pengguna untuk menggunakan SSL dan enkripsi setiap hari.

Saya berpikir betapa konyolnya mempercayai beberapa CA yang tidak dikenal / dikenal ketika datang ke sertifikat kami untuk server kami. Ada banyak kasus pelanggaran, penyalahgunaan, kompromi dan pencurian kunci sertifikat / ca dari tempat-tempat itu. Selain masalah-masalah yang diketahui, kami juga harus membayar orang-orang ini secara teratur.

Saya bertanya-tanya mengapa kita tidak bisa menggunakan / memperlakukan sertifikat server web seperti kita menggunakan kunci pgp kita? Jadi saya menandatangani sertifikat SSL dan mengirim ke server pusat. Dan kemudian setiap pengguna yang mengakses situs saya memeriksa validitas dan kunci dari beberapa server pusat (seperti server kunci pgp).

Apakah ini ide yang bodoh? Jika demikian apa yang bisa menjadi ide yang lebih baik daripada sistem saat ini mengeluarkan sertifikat yang valid. Saya mencari ide yang lebih baik daripada lebih aman. Tentu saja ini bukan solusi untuk masalah yang ada, tetapi ini akan menjadi solusi hipotetis untuk beberapa implementasi masa depan dari web kepercayaan yang saat ini kacau di internet karena berita terbaru tentang NSA dan teman kriminal mereka di seluruh dunia.

Terima kasih

Itu kenyamanan, kebanyakan. Sebuah web-of-trust PGP-seperti murni hanya bekerja jika ada adalah jalur kepercayaan antara klien verifikasi dan sertifikat ditandatangani.

Dengan PKI, ini dimulai dengan daftar CA root tepercaya yang telah dibangun oleh semua sistem operasi (dan seringkali browser web), dan daftar itu dapat digunakan untuk memverifikasi 99% dari semua sertifikat server yang ditemukan.

Dengan WoT, setiap pengunjung Anda hanya akan melihat bahwa sertifikat server ditandatangani oleh satu "yarun can", dan mereka perlu mengenal seseorang yang telah memverifikasi Anda, atau menemukan cara untuk memverifikasi sendiri kunci Anda. Ini hanya nyaris tidak bekerja untuk email, di mana koneksi sedikit dan jangka panjang (misalnya teman, rekan kerja). Ini tidak akan skala sama sekali untuk ratusan website - bahkan untuk pengunjung yang tidak memiliki geek keamanan-sadar lokal yang mereka percaya dengan memverifikasi situs tersebut.

Tetapi bagaimana jika mereka tidak melakukannya? Bagaimana jika pengunjung tidak mengetahui siapa pun yang telah memverifikasi kunci Anda? Mereka harus menemukan cara untuk memverifikasi Anda secara langsung. Anda dan lusinan, ratusan webmaster lainnya. Mungkin Anda akan menemukan satu atau dua pengunjung meminta sidik jari Anda melalui telepon. Beberapa ribu lainnya tidak akan melakukan apa-apa dan cukup mengklik peringatan "server tidak dipercaya".

Hasil akhir: tidak ada keamanan sama sekali.

Dan jika Anda sekarang berpikir "mari kita daftar penandatangan / verifikasi tepercaya secara default" ... Anda hanya menerapkan PKI otoritas tepercaya yang sama di atas PGP.