En otras palabras, ¿cuál sería el riesgo de seguridad de no firmar certificados de clave pública por las autoridades de certificación (desde la perspectiva del usuario)? Quiero decir, los datos todavía están encriptados ... ¿Qué podría hacer un hombre en el medio con un certificado no firmado?
security
ssl-certificate
https
encryption
Olivier Lalonde
fuente
fuente
Respuestas:
El propósito de SSL cuando se usa con HTTP no es solo encriptar el tráfico, sino también autenticar quién es el propietario del sitio web y que alguien ha estado dispuesto a invertir tiempo y dinero para demostrar la autenticidad y propiedad de su dominio.
Es como comprar una relación, no solo el cifrado, y la relación infunde o asume un cierto nivel de confianza.
Dicho esto, hice una pregunta similar hace unos meses, y la respuesta básica que regresó fue "SSL es un poco una estafa"
fuente
Imagine una situación en la que debe entregar $ 1,000,000 a una persona llamada John Smith con la que nunca se ha reunido ni se ha comunicado. Le dicen que puede encontrarse con él en un lugar público lleno de gente. Cuando vayas a conocerlo, necesitarás alguna forma de asegurarte de que él sea realmente la persona que estás buscando, y no otra persona al azar que diga ser John Smith. Puede solicitar una identificación gubernamental, una tarjeta de visita. Puede pedirle a una persona de su confianza que haya conocido a John Smith que lo ayude a identificarlo.
Un certificado autofirmado identifica de forma exclusiva un sistema, pero no hace nada para demostrar que el sistema es quien dice ser. Puedo autofirmar fácilmente un certificado y afirmar ser serverfault.com, google.com o yourbank.com. Las autoridades de certificación básicamente actúan como un tercero en el que el cliente confía para verificar que un certificado sea realmente válido para el nombre que el sitio afirma poseer.
fuente
El negocio de SSL es de hecho un poco estafa. Más de un poco, de hecho, cuando estás pagando alrededor de 20p por byte por algunos datos criptográficamente interesantes. Lo que está pagando es por la CA que use para firmar su certificado con una de sus claves privadas después de probarse a sí mismo que tiene derecho a usar el nombre de dominio / host para el que es el certificado. Como dice Farseeker, es una relación de confianza: la CA confía en usted (después de haberlo investigado), los navegadores web del mundo confían en la CA (generalmente) y, por lo tanto, los navegadores web del mundo confiarán en su certificado. Y no me hagas empezar con la validación extendida ...
fuente