Kuidas brauserid kinnitavad veebisaidi identiteete ja kaitsevad postituste eest
Kas olete kunagi märganud, et teie brauser kuvab mõnikord krüpteeritud veebisaidil veebisaidi organisatsiooni nime? See on märk sellest, et veebisaidil on laiendatud valideerimissertifikaat, mis näitab, et veebisaidi identiteet on kinnitatud.
EV-sertifikaadid ei anna täiendavat krüpteerimistugevust - selle asemel näitab EV-sertifikaat, et veebisaidi identiteeti on põhjalikult kontrollitud. SSL-sertifikaadid annavad veebisaidi identiteedi väga vähe.
Kuidas brauserid kuvavad laiendatud valideerimissertifikaate
Krüpteeritud veebisaidil, mis ei kasuta laiendatud valideerimissertifikaati, ütleb Firefox, et veebisait on "juhitud (teadmata)."
Chrome ei näita midagi teisiti ja ütleb, et veebisaidi identiteeti kinnitas veebisaidi sertifikaadi välja andnud sertifitseerimisasutus.
Kui olete ühendatud laiendatud valideerimissertifikaadiga veebisaidiga, ütleb Firefox teile, et seda haldab konkreetne organisatsioon. Selle dialoogi kohaselt on VeriSign kontrollinud, et oleme ühendatud reaalse PayPali veebisaidiga, mida haldab PayPal, Inc.
Kui olete ühendatud saidiga, mis kasutab Chrome'i EV-sertifikaati, kuvatakse organisatsiooni nimi teie aadressiribale. Teabe dialoog näitab, et VeriSign on kontrollinud PayPali identiteeti laiendatud valideerimissertifikaadi abil.
Probleem SSL-sertifikaatidega
Aastaid tagasi kasutasid sertifikaadiasutused veebisaidi identiteedi kinnitamist enne sertifikaadi väljastamist. Sertifitseerimisasutus kontrollib, kas sertifikaadi taotlev ettevõte on registreeritud, helistanud telefoninumbrile ja kontrollinud, kas ettevõte on veebisaidile vastav õigustatud toiming.
Lõpuks hakkasid sertifitseerimisasutused pakkuma ainult domeeniga sertifikaate. Need olid odavamad, sest sertifitseerimisasutusel oli vähem tööd, et kiiresti kontrollida, kas taotleja omas konkreetset domeeni (veebisait).
Petturid hakkasid seda lõpuks ära kasutama. Phisher võib domeeni paypall.com registreerida ja osta ainult domeeni sertifikaadi. Kui kasutaja on ühendatud paypall.com-iga, kuvab kasutaja brauser tavalise lukukoodi, mis annab vale turvatunde. Brauserid ei näidanud erinevust ainult domeeni sertifikaadi ja sertifikaadi vahel, mis hõlmas veebilehe identiteedi ulatuslikumat kontrollimist.
Avalikkuse usaldus sertifitseerimisasutuste vastu, et kontrollida veebisaite, on langenud - see on vaid üks näide sertifitseerimisasutustest, kes ei täida oma hoolsuskohustust. 2011. aastal leidis Electronic Frontier Foundation, et sertifitseerimisasutused olid väljastanud üle 2000 „localhost” sertifikaadi - nime, mis viitab alati teie praegusele arvutile. (Allikas) Vale käes võib selline sertifikaat muuta inimeste keskel rünnakud lihtsamaks.
Kuidas laiendatud valideerimissertifikaadid on erinevad
EV-sertifikaat näitab, et sertifitseerimisasutus on kontrollinud, et veebisaiti haldab konkreetne organisatsioon. Näiteks kui phisher proovis maksta paypall.com-i EV-sertifikaati, siis taotlus tühistatakse.
Erinevalt standardsetest SSL-sertifikaatidest lubatakse EV sertifikaate väljastada ainult sõltumatu auditi läbinud sertifitseerimisasutused. Sertifitseerimisasutus / brauserifoorum (CA / Browser Forum), sertifitseerimisasutuste ja brauseritarnijate vabatahtlik organisatsioon, nagu Mozilla, Google, Apple ja Microsoft, annab ranged juhised, mida peavad järgima kõik laiendatud valideerimissertifikaate väljastavad sertifitseerimisasutused. See ideaalis takistab sertifikaadi asutustel osaleda teises „rassis allapoole”, kus nad kasutavad odavamaid tõendeid, et pakkuda odavamat sertifikaati.
Lühidalt öeldes nõuavad suunised, et sertifitseerimisasutused kontrolliksid, et sertifikaadi taotlev organisatsioon oleks ametlikult registreeritud, omaks kõnealust domeeni ja et sertifikaadi taotleja tegutseb organisatsiooni nimel. See hõlmab valitsuse dokumentide kontrollimist, domeeni omaniku poole pöördumist ja organisatsiooni poole pöördumist, et veenduda, et sertifikaadi taotleja töötab organisatsioonis.
Seevastu ainult domeeni sertifikaadi kontrollimine võib hõlmata ainult domeeni whois-kirjete vaatamist, et kontrollida, kas registreerija kasutab sama teavet. Sertifikaatide väljastamine sellistele domeenidele nagu „localhost” tähendab, et mõned sertifikaadiasutused ei tee isegi nii palju kontrollimisi. EV sertifikaadid on põhimõtteliselt katse taastada üldsuse usaldus sertifitseerimisasutuste vastu ja taastada nende roll väravavahendajatena kurjategijate vastu..
