Apakah sertifikat SSL gratis aman?

11

Bagaimana beberapa sertifikat SSL gratis? Apa artinya? Apakah mereka aman atau tidak?

https security-certificate

— aneuryzm
sumber

5

Satu-satunya alasan mengapa perusahaan mengenakan biaya untuk sertifikat SSL adalah mereka meluangkan waktu dan upaya untuk menciptakan sertifikat dan berharap dibayar untuk pekerjaan mereka (tentu saja dengan untung). Tetapi mereka tidak perlu mengenakan biaya jika mereka tidak ingin seperti yang dapat dilakukan oleh penyedia layanan gratis. Yang penting dengan sertifikat SSL adalah apakah pembuat browser utama mengakui penerbit sertifikat sebagai dapat dipercaya atau tidak. Jika mereka melakukannya, peramban akan menampilkan situs itu aman seperti yang dilakukan oleh penyedia lain yang dikenal. Jika tidak, maka setiap pengguna yang mencoba mengakses halaman web yang dijamin oleh sertifikat yang tidak dikenal akan melihat peringatan yang memberi tahu mereka bahwa sertifikat itu tidak dikenali dan memperingatkan mereka untuk tidak melanjutkan.

Jadi pertanyaan sebenarnya adalah, "penyediaan gratis mana yang diakui oleh pembuat browser utama sebagai yang berwibawa"?

— John Conde
sumber

Dengan kata lain, mereka adalah sertifikat yang aman, tidak "diverifikasi" dari penyedia sertifikat yang menerbitkan, karena itu adalah sertifikat yang dibuat sendiri. Membuat saya bertanya-tanya mengapa server web itu sendiri tidak dapat memverifikasi sertifikat. Tapi sekali lagi, saya kira mereka tidak akan membuat $$$ mereka jalan, bukan?

— Talvi Watia

Ini adalah browser Anda yang menentukan validitas sertifikat yang disajikan server. Sertifikat yang ditandatangani sendiri akan membuat koneksi yang aman, tetapi itu tidak akan memvalidasi server dimiliki oleh orang yang diklaimnya, itulah tujuan otoritas sertifikat, dan mereka membebankan biaya untuk proses verifikasi dan sertifikasi sertifikat. server sedang mempresentasikan.

— danivovich

2

@ Talvi: Lelucon yang bagus! ... tunggu, itu lelucon, kan? Sertifikat tersebut digunakan untuk memverifikasi identitas server, antara lain. Meminta sertifikat seperti menanyakan ID seseorang: "Siapa nama Anda? Joe Blow. Bisakah Anda menunjukkan kepada saya beberapa ID? Tentu." Kemudian pria itu mengambil selembar kertas, menulis "Joe Blow" dan memberikannya kepada Anda. Di sini, inilah ID saya. Jadi Anda melihatnya, dan Anda berkata, "Ah, baiklah. Jika itu di selembar kertas, itu pasti benar ... Server yang memproduksi sertifikatnya sendiri adalah hal yang hampir sama." Apakah Anda server yang tepat untuk itu? bank saya? "" Ya. Ini bukan droid yang Anda cari "

— Sylver

2

@Sylver Apa alternatif yang menurut Anda ada? Ini hanya masalah di mana Anda menaruh kepercayaan Anda: "Siapa namamu? Joe Blow. Bisakah Anda menunjukkan beberapa kartu identitas? Tentu." Pria itu memperkenalkan temannya, Very Sign, yang mengambil sedikit kertas, menulis "Joe Blow" dan memberikannya kepada Anda. Di sini, inilah ID saya. Jadi Anda melihatnya, dan Anda berkata, "Ah, baiklah. Jika itu di selembar kertas, itu pasti benar ... Properti identifikasi sertifikat sebenarnya hanya manfaat sampingan dari teknik enkripsi. Pergi dan periksa yang menandatangani sertifikat untuk verisign.com

— robertc

1

@robert: Tepat, kecuali bahwa Veri Sign bukan teman Joe Blow. Verisign adalah perusahaan yang diatur yang bisnis utamanya adalah untuk membuktikan identitas orang. Paspor atau kartu identitas hanya sepotong indah pencetakan di kertas mewah, tetapi kami menerimanya karena kami percaya itu dikeluarkan oleh agen yang dapat diandalkan yang memeriksa identitas pemohon, karena ada hukuman serius untuk pemalsuan dan karena mereka tidak mudah dipalsukan sejak awal. Untuk mendapatkan sertifikat dari Verisign, mereka akan terlebih dahulu memeriksa apakah Anda sah. ...

— Sylver

4

Lihatlah Wikipedia untuk perbandingan yang bagus dari layanan SSL. Sepertinya startcom memiliki layanan sertifikat SSL gratis yang diakui oleh IE, FF dan Safari.

Saya menduga ada layanan serupa lainnya di sekitar. Masalah utamanya adalah menemukan penyedia yang didukung oleh peramban modern. Memiliki browser memperingatkan pengguna bahwa sertifikat tidak dapat diandalkan lebih buruk daripada tidak memiliki sertifikat sama sekali, dari POV konversi & penjualan.

— Sylver
sumber

Sertifikat StartCom tidak lagi dipercaya oleh peramban utama: Sertifikat StartSSL memberi SEC_ERROR_REVOKED_CERTIFICATE di Firefox dan ERR_CERT_AUTHORITY_INVALID di Chrome

— Stephen Ostermiller

Situs web Wikipedia dihapus. Bisakah Anda menambahkan yang baru di sana?

— Léo Léopold Hertz 준영

0

Infrastruktur Kunci Publik bergantung pada Pihak Ketiga Tepercaya yang akan memverifikasi dan kemudian dapat mendukung identitas Anda.

Saat Anda membayar otoritas sertifikat utama seperti Verisign untuk sertifikat, Anda membayar reputasinya sebagai pihak ketiga yang memiliki reputasi dan tepercaya yang dapat mendukung validitas identitas dan sertifikat Anda. Dari sudut pandang praktis, itu berarti bahwa browser utama telah dikonfigurasikan sebelumnya untuk mempercayai sertifikat yang ditandatangani oleh otoritas tersebut.

Saya dapat membuat sertifikat untuk Anda secara gratis, tetapi itu akan relatif tidak berharga, karena tidak ada yang tahu siapa saya dan karenanya dukungan saya tidak memberi mereka kepercayaan diri.

— lukecyca
sumber

0

Bahkan otoritas sertifikat utama seperti verisign, globalsign, COMODO memberikan versi periode jejak gratis dari sertifikat SSL karena mereka memberi kita kesempatan untuk mempercayai dan menilai produk mereka.

— Menandai
sumber