什麼讓一些SSL證書比其他人「更好」？

我知道瀏覽器必須信任證書頒發機構（CA）才能使用SSL證書顯示頁面，而不要求站點訪問者信任該證書。但是我看到不同公司以不同的價格銷售證書（some even free），但據我所知，它們不是「好」。如果瀏覽器支持SSL證書並使頁面加密，那麼一個CA的證書是否比另一個CA的證書更好？什麼讓一些SSL證書比其他人「更好」？

來源

2014-02-07 Keavon

我喜歡這個問題有很多，但我不確定它是否屬於StackOverflow。也許這是更多關於主題http://security.stackexchange.com/？ – jpmc26

事後看來，這可能是一個更好的問題，但我認爲它確實適合於這個，因爲它涉及到SSL技術，而不是關於它的具體安全問題。 – Keavon

此問題似乎是無關緊要的，因爲它涉及安全性，因此更適合http://security.stackexchange.com –

這些證書不同的各個方面：

壽命時間：最廉價的證書通常具有短的壽命時間，例如大約一年後過期，需要重新創建。這對於讓你購買更好的證書來說並不是主要的麻煩，但便宜的人通常並不關心安全性，因此這些證書有較高的機會受到損害（例如私鑰被盜），並且應該有短暫的生命有時間限制攻擊者可以做的傷害。而且，如果證書的所有者注意到並關心妥協，證書需要被撤銷並添加到CRL（證書撤銷列表）中，因此CRL（證書撤銷列表）可以變得非常重要 - 請查看GoDaddy的巨大CRL。
通配符和多個名稱（主題替代名稱）：便宜證書限於單個主機，通配符或替代名稱的成本更高。通常，公司通常使用具有多個名稱或通配符的證書來避免維護多個證書的麻煩，但如果您提供具有多個名稱的同一站點（例如，甚至example.com和www.example.com不同），通常也是必要的。
實際完成多少驗證：這個想法是，有些CA對證書的所有者做了更好的驗證。這使得證書更昂貴（有人必須爲驗證付費），但這也使得證書更加值得信賴。當然，如果CA真的檢查所有者，這隻有意義。最有名的例子是「擴展驗證證書」，它在瀏覽器中顯示爲更可信。

除此之外，您的瀏覽器信任來自各個國家的約100個不同的CA.在當前的PKI（公鑰基礎設施）中，沒有辦法限制每個CA的影響，例如，中國的CA可以爲google.com頒發證書，或者美國的CA可以爲google.cn頒發證書。也沒有萬無一失的碰撞管理，例如同一域的證書可以由多個CA同時發佈，並且瀏覽器會接受它。此外，這些可信根CA中的每一個都可以發佈任何數量的中間CA，其本身可以發佈其他中間CA等。這些中間CA中的每一個都具有發佈他們想要的任何證書的所有能力，例如，最近，法國CA FGC/A的次級子分CA爲google.com等人頒發了「accidentely」證書，請參見http://arstechnica.com/security/2013/12/french-agency-caught-minting-ssl-certificates-impersonating-google/。而且，沒有公佈所有CA頒發的證書的公開清單，因此您可以確定其中一些將中間CA出售給執法機構和其他用途（另請參閱http://blog.spiderlabs.com/2012/02/clarifying-the-trustwave-ca-policy-update.html）。

當然，CA也會遭到黑客入侵，如2011年的DigiNotar和Comodo，其中頒發並主動用於攻擊的gmail，microsoft live等證書。而DigiNotar關閉Comodo可能太大而不能失敗。

總結：當前的PKI系統的證書，您可以信任的證書一樣，你會相信所有主要goverments和公司的組合 - 無論這種信任是:(

來源

2014-02-07 06:52:08

很好的答案，但是您能否解釋CA向攻擊者頒發證書的危險？與使用可靠CA的不太可靠的CA簽發證書有什麼不同？ – Keavon

攻擊者不比任何其他人更好或更差。我已經添加了更多關於CA（以及證書）的可靠性的信息，希望這有助於。 –

感謝您通過更多信息進行更新。由於任何由瀏覽器批准的證書都可以正常工作，如果攻擊者仍然可能獲得另一個域的證書並做出像DNS中毒或其他攻擊那樣的惡意行爲，那麼爲什麼您的證書更值得信任呢？ – Keavon

什麼讓一些SSL證書比其他人「更好」？

回答

相關問題