SSL sertifikaları nasıl doğrulanır?

SSL sertifikasını güvenli bir şekilde doğrulamak için gereken adımlar dizisi nedir? (Çok sınırlı) anlayışım, bir https sitesini ziyaret ettiğinizde sunucunun istemciye (tarayıcı) bir sertifika göndermesi ve tarayıcının sertifikanın yayıncı bilgilerini bu sertifikadan alması, ardından bunu yayıncıyla iletişim kurmak için kullanması ve bir şekilde karşılaştırmasıdır. geçerlilik sertifikaları.

• Bu tam olarak nasıl yapılır?
• Süreç, onu ortadaki adam saldırılarına karşı bağışık kılıyor?
• Bazı rastgele kişilerin ortadaki adam saldırılarında kullanmak için kendi doğrulama hizmetlerini kurmasını engelleyen şey nedir, böylece her şey "güvenli" görünür?

İşte çok basitleştirilmiş bir açıklama:

1. Web tarayıcınız, web sunucusunun ortak anahtarını içeren web sunucusunun sertifikasını indirir. Bu sertifika güvenilir bir sertifika yetkilisinin özel anahtarı ile imzalanmıştır.

2. Web tarayıcınız, tüm büyük sertifika yetkililerinin ortak anahtarlarıyla birlikte gelir. Web sunucusunun sertifikasının gerçekten güvenilir sertifika yetkilisi tarafından imzalandığını doğrulamak için bu ortak anahtarı kullanır.

3. Sertifika, web sunucusunun etki alanı adını ve / veya ip adresini içerir. Web tarayıcınız, sertifika yetkilisinde, sertifikada listelenen adresin açık bağlantıya sahip olduğu adres olduğunu doğrular.

4. Web tarayıcınız, bu bağlantıdaki HTTP trafiğini şifrelemek için kullanılacak paylaşılan bir simetrik anahtar oluşturur; bu, her şey için genel / özel anahtar şifrelemesini kullanmaktan çok daha etkilidir. Tarayıcınız simetrik anahtarı web sunucusunun ortak anahtarı ile şifreler ve daha sonra geri gönderir, böylece yalnızca web sunucusunun özel anahtarı olduğundan, yalnızca web sunucusunun şifresini çözebilmesini sağlar.

Sertifika yetkilisinin (CA) ortadaki adam saldırılarını önlemek için gerekli olduğunu unutmayın. Bununla birlikte, imzasız bir sertifika bile, paylaşılan simetrik anahtarınıza erişmenin bir yolu olmadığı için birisinin şifreli trafiğinizi pasif olarak dinlemesini önleyecektir.

Bir sertifika satın almanın yanı sıra (yukarıda belirtildiği gibi) ücretsiz olarak kendiniz de oluşturabileceğinizi belirtmek gerekir; buna "kendinden imzalı sertifika" denir. Kendinden imzalı bir sertifika ile satın alınan bir sertifika arasındaki fark basittir: satın alınan sertifika, tarayıcınızın zaten bildiği bir Sertifika Yetkilisi tarafından imzalanmıştır. Başka bir deyişle, tarayıcınız satın alınan bir sertifikanın gerçekliğini kolayca doğrulayabilir.

Ne yazık ki bu, kendinden imzalı sertifikaların GoDaddy ve Verisign gibi ticari CA'lar tarafından satılanlardan daha az güvenli olduğu ve bunları kullanırsanız tarayıcı uyarıları / istisnaları ile yaşamak zorunda olduğunuz konusunda yaygın bir yanlış anlama doğurmuştur; bu yanlış .

Kendinden imzalı bir sertifikayı (veya bobince'nin önerdiği gibi CA sertifikasını) güvenli bir şekilde dağıtır ve sitenizi kullanacak tarayıcılara yüklerseniz , satın alınan kadar güvenli ve ortadaki adamlara karşı savunmasız değildir. saldırıları ve sertifika sahteciliği. Açıkçası bu, yalnızca birkaç kişinin sitenize güvenli bir şekilde erişmesi gerektiğinde (ör. Dahili uygulamalar, kişisel bloglar, vb.) Mümkün olduğu anlamına gelir.

Dedin ki

tarayıcı sertifikanın yayıncı bilgilerini bu sertifikadan alır, ardından bunu yayıncıyla iletişim kurmak için kullanır ve bir şekilde geçerlilik için sertifikaları karşılaştırır.

Müşteri, ihraççı ile kontrol etmek zorunda değildir, çünkü iki şey:

1. tüm tarayıcılarda tüm büyük CA'ların genel anahtarlarının önceden yüklenmiş bir listesi bulunur
2. sertifika imzalanır ve bu imzanın kendisi sertifikanın geçerli olduğunun kanıtıdır, çünkü istemci kendi başına ve yayıncının sunucusuna başvurmadan bu sertifikanın gerçek olduğundan emin olabilir. Bu asimetrik şifrelemenin güzelliği.

Dikkat edin 2. olmadan 1 yapılamaz.

Bu biraz zaman önce yaptığım bu büyük diyagramda daha iyi açıklanmış

(alttaki "imza nedir?" bölümüne atlayın)

İstemcinin SSL sertifikası yetkililerinin genel anahtarları için önceden eklenmiş bir deposu vardır. Sunucunun güvenilebilmesi için sunucu için sertifikadan, ara yetkililer tarafından "kök" sertifikalardan birine kadar bir güven zinciri olmalıdır.

Güvenilir yetkililerin listesini inceleyebilir ve / veya değiştirebilirsiniz. Bunu genellikle, güvendiğinizi bildiğiniz bir yerel makam için, çalıştığınız şirket veya katıldığınız okul gibi ya da olmayan bir sertifika eklemek için yaparsınız.

Önceden ekilmiş liste kullandığınız istemciye bağlı olarak değişebilir. Büyük SSL sertifikası satıcıları, kök sertifikalarının tüm büyük tarayıcılarda ($$$) olmasını sağlar.

Saldırganın güvenilen bir kök sertifikasının özel anahtarı yoksa ortadaki maymun saldırıları "imkansızdır". Karşılık gelen sertifikalar yaygın bir şekilde konuşlandırıldığından, böyle bir özel anahtarın maruz kalmasının genel olarak e-Ticaretin güvenliği üzerinde ciddi etkileri olacaktır. Bu nedenle, bu özel anahtarlar çok, çok yakından korunmaktadır.

teknik olarak daha fikriniz varsa, bu site muhtemelen istediğiniz şeydir: http://www.zytrax.com/tech/survival/ssl.html

uyarı: tavşan deliği derin gider :).