Dengan kata lain, apa risiko keamanan dari tidak menandatangani sertifikat kunci publik oleh otoritas sertifikat (dari perspektif pengguna)? Maksudku, data masih dienkripsi ... Apa yang bisa dilakukan seorang pria di tengah dengan sertifikat yang tidak ditandatangani?
security
ssl-certificate
https
encryption
Olivier Lalonde
sumber
sumber
Jawaban:
Tujuan SSL ketika digunakan dengan HTTP tidak hanya untuk mengenkripsi lalu lintas, tetapi juga untuk mengautentikasi siapa pemilik situs web tersebut, dan bahwa seseorang bersedia menginvestasikan waktu dan uang untuk membuktikan keaslian dan kepemilikan domain mereka.
Ini seperti membeli suatu hubungan, bukan hanya enkripsi, dan hubungan itu menanamkan, atau mengasumsikan, tingkat kepercayaan tertentu.
Yang mengatakan, saya mengajukan pertanyaan serupa beberapa bulan yang lalu, dan jawaban dasar yang muncul kembali adalah "SSL sedikit scam"
sumber
Bayangkan sebuah situasi di mana Anda harus mengirimkan $ 1.000.000 kepada seseorang bernama John Smith yang belum pernah Anda temui atau komunikasikan. Anda diberi tahu bahwa Anda dapat bertemu dengannya di lokasi umum yang ramai. Ketika Anda pergi untuk bertemu dengannya, Anda perlu cara untuk memastikan bahwa dia sebenarnya adalah orang yang Anda cari, dan bukan orang acak lainnya yang mengaku sebagai John Smith. Anda mungkin meminta beberapa ID pemerintah, kartu nama. Anda dapat meminta seseorang yang Anda percayai yang sebenarnya telah bertemu dengan John Smith untuk membantu mengidentifikasi dirinya.
Sertifikat yang ditandatangani sendiri secara unik mengidentifikasi suatu sistem, tetapi tidak melakukan apa pun untuk membuktikan bahwa sistem itu adalah yang diklaimnya. Saya dapat dengan mudah menandatangani sendiri sertifikat dan mengklaim sebagai serverfault.com, google.com, atau yourbank.com. Otoritas Sertifikat pada dasarnya bertindak sebagai pihak ketiga yang dipercaya oleh klien untuk memverifikasi sertifikat yang benar-benar berlaku untuk nama yang diklaim oleh situs tersebut.
sumber
Bisnis SSL memang sedikit penipuan. Lebih dari sedikit, pada kenyataannya, ketika Anda membayar sekitar 20 p per byte untuk beberapa data yang menarik secara kriptografis. Apa yang Anda bayar adalah untuk CA mana pun yang Anda gunakan untuk menandatangani sertifikat Anda dengan salah satu kunci pribadi mereka setelah membuktikan kepada diri sendiri bahwa Anda memang berhak menggunakan domain / nama host yang menjadi tujuan sertifikat itu. Seperti yang dikatakan Farseeker, ini adalah hubungan saling percaya - CA mempercayai Anda (setelah mereka memeriksa Anda), peramban web dunia mempercayai CA (biasanya), dan karenanya peramban web dunia akan mempercayai sertifikat Anda. Dan jangan mulai saya tentang Validasi Diperpanjang ...
sumber