Ostatnio nasz zespół ds. Infrastruktury powiedział naszemu zespołowi programistów, że nie potrzebujesz certyfikatu dla protokołu https. Wspomnieli, że jedyną korzyścią z zakupu certyfikatu było zapewnienie konsumentom spokoju, że łączą się z odpowiednią witryną.
Jest to sprzeczne ze wszystkim, co zakładałem o https.
Czytam wikipedię i wspomina, że do skonfigurowania https potrzebujesz certyfikatu zaufanego lub certyfikatu z podpisem własnym.
Czy można skonfigurować usługi IIS, aby odpowiadały na https bez żadnego certyfikatu?
7
Może się okazać, że to tylko problem z komunikacją. Twój serwer prawdopodobnie ma gotowe certyfikaty z podpisem własnym. Nawiasem mówiąc, jest to ostrzeżenie, którego należy unikać, używając publicznego zaufanego certyfikatu: m86security.com/kb/article.aspx?id=13446 Może to być akceptowalne w twoim środowisku lub nie. Powiedziałbym, że to coś więcej niż spokój - na publicznej stronie internetowej jest to znak profesjonalizmu!
—
Dan
Certyfikaty z podpisem własnym zapewniają szyfrowanie, ale nie mogą chronić przed atakami typu man at the middle, ponieważ otrzymujesz takie same ostrzeżenia o nieważnych lub niezweryfikowanych certyfikatach dla autopodpisanego, jak w przypadku faceta przechwytującego ruch, który go odszyfrowuje, kradzież danych i ponowne ich szyfrowanie w celu powrotu do klienta.
—
Bart Silverstrim,
„Certyfikaty z podpisem własnym zapewniają szyfrowanie, ale nie mogą chronić przed atakami typu man at the middle [...]”, chyba że użytkownik może ufać tym samopodpisanym certyfikatom jawnie za pomocą mechanizmu pozapasmowego, który jest realistycznie możliwe tylko dla małej grupy użytkowników, która zna Cię za pomocą takiego pozapasmowego mechanizmu. Rzeczywiście mało prawdopodobne.
—
Bruno,
Lub jeśli zaufają temu po raz pierwszy, zostaną ostrzeżeni, jeśli zmieni się w przyszłości. Tak jak podpisy SSH, naprawdę.
—
mfinni
Technicznie SSL / TLS nie potrzebuje certyfikatów do zabezpieczenia kanału komunikacyjnego. W rzeczywistości protokół SSL / TLS może wykorzystywać inny mechanizm do zabezpieczenia kanału: certyfikaty pgp, nazwa użytkownika / hasło, klucze współdzielone lub „anonimowy” (w ogóle brak uwierzytelnienia). Podobnie SSL / TLS nie gwarantuje szyfrowania, istnieje wiele różnych szyfrów, których może używać, w tym „null” (brak szyfrowania w ogóle). Istnieją również podobne opcje uwierzytelniania skrótowego. To wszystko świetnie, ale jakie programy z nich korzystają: w zasadzie żaden, zdecydowanie nie ma większego oprogramowania serwera lub przeglądarki (wszystkie wymagają certyfikatów).
—
Chris S