ssl - 自己署名 SSL 証明書または CA?

Question

Web サイトの認証部分と登録部分を暗号化したいと考えています (明らかな理由により)。このサイトは、友人と私が中学生の頃に始めた古いサイトで、現在も使用されています。近い将来、非営利団体として登録するかもしれませんし、登録しないかもしれませんが、いずれにせよ、CA には費用がかかり、組織には何もありません。私たちは現在大学生です。

Verisign は不合理で、GoDaddy は年間 30 ドルです。GoDaddy はそれほど理不尽ではありません。GoDaddy の証明書はほとんどの Web ブラウザーで受け入れられると思います。GoDaddy の問題は、なぜ彼らが異なる SSL 製品を持っているのかがわからないことです (つまり、なぜ私を確認しない方が安いのでしょうか? これは、証明書と、ドメイン名だけが含まれている場合にブラウザーがそれをどのように扱うかについて何らかの影響がありますか? ?)

また、自分の証明書の使用に問題はありますか? ログインページは http で、自己署名証明書を使用していることを示す行があり、これが指紋であり、フォームを https ページに投稿できますか? Safari の方法は、それほど悪くはなく、怖くもありません。しかし、残念なことに、Firefox 3 の方法は人々を怖がらせ、私のサイトがハッキングされているなどのメールを大量に受け取るのではないかと心配しています。IE が自己署名証明書にどのように応答するかわかりません。（努力なしで自分で作成できるものになぜお金を払うのかという問題もありますが、その哲学的な部分を提示するつもりはありません。これはより実際的な質問です. ）

要するに、私は GoDaddy に年間 30 ドルを寄付しますか?それとも、私が何をしているのかを短い段落で人々に伝え、実際に私の指紋を欲しがる少数の人々に渡すだけですか?

編集: 詳細情報を求めて読んでいたフォーラムで、GoDaddy 証明書は GoDaddy サーバー上にある場合にのみ提供されると述べていましたが、これはそうではありません。2つのこと：（1）これは本当ですか？ほぼ同じ価格の CA が他にもあるため、引数は同じである必要があります。

score 53 · Accepted Answer

自己署名証明書は、GoDaddy や Verisign などの商用 CA によって販売されている証明書よりも本質的に安全性が低く、それらを使用する場合はブラウザーの警告/例外に対処する必要があるという一般的な誤解があります。これは正しくありません。

自己署名証明書 (またはボビンスが提案する CA 証明書) を安全に配布し、サイトを使用するブラウザーにインストールすると、購入したものと同じくらい安全で、中間者に対して脆弱ではありません。攻撃と証明書の偽造。明らかにこれは、あなたのサイトへの安全なアクセスを必要とする人が数人しかいない場合にのみ実現可能であることを意味します (例: 内部アプリ、個人のブログなど)。

意識を高め、私のようなブロガー仲間に自分自身を保護するよう奨励するために、証明書の背後にある概念と、独自の自己署名証明書を安全に作成して使用する方法を説明する入門レベルのチュートリアルを作成しました (完全なコードサンプルとスクリーンショットを含む)こちら.

score 39 · Accepted Answer

SSL 証明書は、トラフィックの暗号化(少なくとも RSA 鍵交換用)と信頼の検証という 2 つの目的を解決します。ご存知のように、自己署名証明書を使用して (SSL 3.0 や TLS の場合は使用せずに)トラフィックを暗号化できます。ただし、信頼は一連の証明書によって実現されます。私はあなたのことを知りませんが、私は Verisign を信頼しています (あるいは、Microsoft は既定でオペレーティングシステムにインストールするために多額の費用を支払っているので、少なくとも Microsoft は信頼しています)。それも。その結果、Web ブラウザーでそのような SSL ページにアクセスしたときに、信頼できる誰かがあなたがあなたであると言っているので、恐ろしい警告は表示されません。

一般に、証明書が高価であるほど、発行元の認証局が行う調査は多くなります。そのため、Extended Validation 証明書の場合、要求者は自分が誰であるかを証明するためにさらに多くのドキュメントを提出する必要があり、その見返りに、最新の Web ブラウザーでは明るく幸せな緑色のバーが表示されます (Safari では何もしないと思います)。それはまだです）。

最後に、一部の企業は、純粋にブランド名だけを理由に、Verisign のような大手企業と提携しています。彼らは、彼らの顧客が少なくとも Verisign について聞いたことがあることを知っているので、彼らのオンラインストアで買い物をする人々にとって、彼らの印鑑は、たとえば GoDaddy の印章よりも少しスケッチボールに見えません。

ブランディングが重要でない場合、またはサイトがフィッシング攻撃を受けにくい場合は、デフォルトでほとんどの Web ブラウザーにルートがインストールされている、購入できる最も安価な SSL 証明書で問題ありません。通常、行われる唯一の確認は、DNS の管理者の連絡先に送信された電子メールに返信できる必要があることです。これにより、そのドメイン名を「所有」していることを「証明」します。

これらの安価な証明書を GoDaddy 以外のサーバーで使用することはできますが、最初にサーバーに中間証明書をインストールする必要があるでしょう。これは、安価な 30 ドルの証明書と GoDaddy の「本物の」ルート証明書の間に位置する証明書です。あなたのサイトにアクセスする Web ブラウザーは、「うーん、これは仲介者によって署名されているようですが、わかりましたか?」のようになります。追加の旅行が~~必要になる~~ 場合があります。しかし、その後、サーバーから中間を要求し、それが知っている信頼できるルート証明書にチェーンアップすることを確認し、問題はありません.

ただし、サーバーに中間ファイルをインストールすることが許可されていない場合 (共有ホスティングのシナリオなど)、運が悪いです。これが、GoDaddy 証明書は GoDaddy 以外のサーバーでは使用できないと言う理由です。真実ではありませんが、多くのシナリオには十分に当てはまります。

(職場では、オンラインストアに Comodo 証明書を使用し、データベースへの内部接続を保護するために 30 ドルの安価な GoDaddy 証明書を使用しています。)

以下のエリクソンの洞察に満ちた説明を反映するためにイタリック体で編集されています。毎日何か新しいことを学びましょう！

score 8 · Accepted Answer

Let's Encryptから証明書を取得します。これは、この新しい 10 年間の無料の CA であり、ブラウザーで広くサポートされています。

まだ試していませんが、StartComは同様の質問への回答で言及されています。どうやら 1 年間の証明書を無料で入手でき、Firefox 3 で受け入れられているようです。

お金を払わなければならない場合でも、自己署名証明書ではなく CA を使用することをお勧めします。あなたの説明を見ない人もいれば、あなたが提案したように、偽のサイトが独自の偽の証明書のフィンガープリントを投稿する可能性があります。平均的なユーザーが証明書のフィンガープリントとは何か、またはそれを確認する方法を知っているとは思えません。

score 7 · Accepted Answer

自己署名証明書を作成する代わりに、自己署名 CA を作成し、それを使用して HTTPS 証明書に署名します。単一のサーバー証明書よりも CA をインストールするようにユーザーに依頼する方が簡単です。ユーザーがサーバー証明書を再度インストールすることなく、新しい証明書を作成できます (たとえば、サブドメイン用、または期限切れの証明書を更新するため)。

その後、自分の CA によって署名された証明書から GoDaddy または他の誰かによって署名された同じ証明書に切り替えるのに 30 ドルの価値があるかどうかを後で判断できます。

いずれにせよ、フォームが HTTPS に投稿された HTTP ページを作成しないでください。ユーザーは、それがどこに向かっているのかわかりません。ソースを表示して、フォームがハイジャックされて別の場所を指していないことを確認する必要があり、誰もそれを行うつもりはありません。CA リンクを含む HTTP フロントページと、HTTPS ログインフォームへの別のリンクが必要です。

プレーンな HTTP 経由で証明書をダウンロードして CA をインストールするようにユーザーに要求するのは、少し気の毒なことです。中間者がいた場合、CA をオンザフライで置き換えて、その後の HTTPS 接続をハイジャックする可能性があります。これが実際に発生する可能性は非常に低いです。単純な古い自動スニッフィングとは対照的に、標的型攻撃である必要がありますが、実際には、HTTPS で保護された他のサービスで CA ダウンロードリンクをホストする必要があります。

顧客の受け入れは、ユーザーが誰であるかを知っているあなただけが答えることができる問題です。確かにFirefoxのインターフェースは怖すぎる。GoDaddy のような CA が最近 30 ドルまで下がっている場合、私はおそらくそれを選びます。以前はもっとひどいものでした。

古いブラウザやニッチなブラウザでのサポートはそれほど問題ではないと仮定すると、利用可能な最も安価な CA を選択してください。CA に身元を適切に確認してもらうために料金を支払うことになっていますが、実際にはそうではなく、今までにない方法です。Verisign の法外な価格は、企業の惰性だけで生き残っています。

CA は、数百ビットの秘密鍵を所有するだけでお金を受け取るために存在します。CA 義務の一部であると思われていた ID 検証機能は、EV 証明書に移動されました。これはさらにぼったくりです。喜び。

score 3 · Accepted Answer

自己署名証明書は安全ではありません。はい、そうです。「少なくとも暗号化されている」はまったく役に立ちません。記事から：

世界クラスの暗号化 * ゼロ認証 = ゼロセキュリティ

Web サイトがあなたと数人の友人向けである場合、独自の CA を作成し、証明書を友人に配布することができます。

それ以外の場合は、既知の CA から証明書を (無料で) 取得するか、自己署名証明書をまったく気にしないでください。

暗号化されたトラフィックだけでは安全ではないのはなぜですか? 相手側がトラフィックを復号化することを常に許可しています (復号化する必要があります。そうしないと、意味不明なメッセージを送信することになります)。

誰が相手かを確認しないと、誰でもあなたのトラフィックを解読できるようになります。攻撃者に安全にデータを送信しても、安全に送信できなくても違いはありません。いずれにせよ、攻撃者はデータを取得します。

たとえば、paypal.com が信頼できる金融機関に属しているかどうかを確認することについて話しているのではありません (それはより大きな問題です)。Paypal.com にデータを送信しているのか、角を曲がったところにあるバンに送信しているのかを確認することについて話しています。！」

score 2 · Accepted Answer

Internet Explorer に関するあなたの質問に答えるために、証明書が IE で知られている (残念ながら「信頼できる」と呼ばれる) CA によって署名されていないサイトについてユーザーに警告します。これには、独自の CA と自己署名証明書が含まれます。また、証明書内のドメインがアクセスされているドメインでない場合にも警告が表示されます。

これが非公開のサイトであれば、リンクレベルの暗号化を取得している限り気にしないかもしれません (そして、誰かがあなたのトラフィックを傍受することをそれほど恐れていますか?)。パブリックアクセスがあり、SSL が必要な場合は、他の人が既にアドバイスしているように、認識されている CA から署名付き証明書を取得してください。

score 2 · Accepted Answer

私はついに故障し、昨夜サーバーを自己署名からGoDaddy証明書に切り替えましたが、プロセスが可能な限り明確ではないことを除けば、それほど大したことではありませんでした. 年間 30 ドルは妥当なコストであり、GoDaddy 以外のサーバーで証明書を使用しても問題ありません。

SSL について一般に公開する場合は、実際の CA によって署名された実際の証明書を取得してください。たとえ最低賃金で働いていたとしても、ユーザーの恐怖心や不信感に対処するために無駄な時間を年間 30 ドル以上節約できます。それは、ユーザーがあなたのサイトから怖がって離れることによる収益の損失の可能性を考慮するよりも前の話です.

score 1 · Accepted Answer

角を曲がったそのバンがすでにインターネット接続を乗っ取ることができる場合、自己署名証明書よりも悪い問題があります.

銀行は、認証にクライアント証明書を使用する必要があります。それはそのバンが何もすることを不可能にします....それは銀行の秘密鍵を持っていないからです。

自己署名証明書はまったく問題ありません...インターネット接続が侵害されていないと仮定します. あなたの接続が危険にさらされている場合...あなたはおそらくとにかく悩まされています.

score 0 · Accepted Answer

GoDaddy は、このサイトの今すぐ購入リンクを介して、年間 15 ドルで SSL 証明書を提供しています。クーポンコードを適用しないでください。価格が年間 30 ドルに戻り、そこから割引されるためです。

http://www.sslshopper.com/ssl-certificate-comparison.html?ids=17,25,34,37,62

ssl - 自己署名 SSL 証明書または CA?

9 に答える 9

Related

Reference