Importálnia kell a gyökértanúsítványt a böngésző megbízható tárolójába. Miután a böngésző megtudta, hogy megbízik ebben a gyökértanúsítványban, az összes aláírt tanúsítvány megbízhatóként jelenik meg.

Vegye figyelembe, hogy ez csak a kapcsolatot fogja megbízhatóvá tenni számodra, bárki más számára, aki nem rendelkezik gyökértanúsítvánnyal. telepítve továbbra is hibát fog kapni.

Az önaláírt tanúsítványokat eredetileg nem bízza meg a böngészője, mert a tanúsítvány önmagában nem képez bizalmat, a bizalom abból adódik, hogy MINDENKI megbízik egy tanúsító hatóság által. A böngésző egyszerűen nem bízik az önaláírt tanúsítványban, mintha egy gyökértanúsítvány lenne. Ahhoz, hogy böngészője elfogadja a tanúsítványt, lépjen be a böngészőbeállításokba, és adja hozzá a tanúsítványt gyökértanúsítványként.

Az önaláírt tanúsítvány megbízható megszerzésének legjobb módja egy kulcstartás, amely alapvetően egy nagy nyilvános esemény, ahol az összes kriptográfus és biztonsági szakértő összegyűlik, hogy tanúi lehessenek egy gyökér CA-nak, hogy létrehozzák a kulcspárjukat, és gyökér CA-nak nyilvánítják magukat. Mindent rögzítenek: videót, ki mindenki, és mindenki mit csinál az ügyvédek. A magánkulcsot sok különböző részre osztják, és külön tárolják a széfekben, általában egyetlen tanúsítvány aláírása után, amelyet közvetítőként használnak más tanúsítványok aláírására. Ha akarja, olvassa el a tipikus eljárást. Ehhez természetesen rendelkeznie kell a legkorszerűbb technológiai és fizikai biztonsággal, és bárki meg akarja használni a root CA-t, vagy megbízhat benne. Ezt követően a tanúsítványai szerepelhetnek a böngésző terjesztésében, majd a nagyközönség felhasználhatja bizalmas tanúsítványláncok létrehozására.

Valójában az önaláírt tanúsítványok biztonságban lehetnek , csak nem a jelenleg használt modellnél.

A széles körben elterjedt CA alatt (tanúsító hatóság) ) modellt, amelyet mindenki jelenleg használ, a megbízható hitelesítésszolgáltató által aláírt tanúsítvány célja a hitelesítés biztosítása.

Amikor tanúsítványt kapunk, valójában csak 1-et látunk 0 jön be a fal aljzatából; fogalmunk sincs, honnan jöttek azok az 1-esek és 0-k. Mivel azonban a tanúsítványt egy hitelesítésszolgáltató írja alá , amit a világon senki nem tud megtenni - és mivel megbízunk a CA-ban a tanúsítvány tulajdonosának személyazonosságának ellenőrzésében, abban bízunk a tanúsítvány annak származik, akinek állítja.

Természetesen, ha a hitelesítésszolgáltató sérül, vagy nem igazolja helyesen a tulajdonosát, az összes fogadás ki.

Van azonban egy másik modell is, amely alatt az önaláírt tanúsítványok nem biztosítanak hitelességet. Közjegyzői modellnek hívják.

Lényegében ahelyett, hogy egyetlen CA-ban bíznánk, a bizalmat tetszőleges számú közjegyzőnek osztjuk el. Ezek a közjegyzők tanúsítványok után kutatnak az interneten, és megőrzik az összes tanúsítvány gyorsítótárát. Amikor először látogat meg egy webhelyet, és megszerzi a tanúsítványt, akkor számos globális terjesztésű közjegyzőtől megkérdezi, hogy mi volt az utolsó tanúsítvány, amelyet láttak. Ha nem értenek egyet azzal, amit látsz, akkor részese lehetsz egy ember a középen támadásnak.

Ebben a modellben az önaláírt tanúsítványok tökéletesen biztonságosak, amennyiben feltételezzük a kiszolgáló nincs azonnal veszélyeztetve, mielőtt bármelyik közjegyző megtekintheti a tanúsítványát.

A közjegyzői modell még mindig gyerekcipőben jár, és kétséges, hogy valaha is átveszi-e a CA modellt (valójában nem muszáj - tandemben is használhatók) . Az eddigi legígéretesebb projekt a Convergence.io, amely rendelkezik egy pluginnel a Firefox számára.

Rövidebb válasz.

Sok válasz itt, de úgy tűnik, hogy egyik sem jut egyenesen a lényegre: Semleges és elismert harmadik fél - például tanúsító hatóság - nélkül, igazolva a tanúsítvány tulajdonjogát, a tanúsítvány értelmetlen.

Hosszabb válasz.

A jobb megértés érdekében a HTTPS-kapcsolat létrehozásakor a következő láncot használhatja:

• kliens web böngésző, amely a szervernek kéri a kérést.
• A távoli webszerver adatokat küld vissza az ügyfélnek.
• És egy semleges harmadik fél által engedélyezett HTTPS-tanúsítvány, amely igazolja, hogy a szerver ki ez van, és a titkosítás ezért érvényes.

Az önaláírt tanúsítvány eredendően nem megbízható, mert bárki előállíthat önaláírt tanúsítványt . Bárki, aki olyan entitást is tartalmaz, amely szándékosan úgy tesz, mintha valaminek / valakinek lennénk. Egy önaláírt tanúsítvánnyal egyszerűen nincs olyan megbízható harmadik fél, akinek az alapvető emberi eljárásai vannak beállítva, hogy egyszerűen kijelentsék: „Rendben, ennek a domainnek van tanúsítványa, amelyet mi kiadtunk, és így megbízhat bennük. Azt mondjuk, hogy valójában ők azok a domainek, amelyekre hivatkoznak, és nem csalók. ”

És mivel a világon bárki létrehozhat önállóan aláírt tanúsítványt, a használat magában rejti a bizalom problémáit. A tanúsítvány érvényességének nagyon kevés köze van a mélytechnikához vagy a titkosítási technikákhoz , de ami érvényessé teszi, az egy olyan folyamat, amely egy semleges - és elismert - harmadik fél köré összpontosul, használati eljárások és a böngészőkészítők betartják ezen eljárások tiszteletben tartását.

A nap végén egy titkosítási kulcspár egy teljesen értelmetlen bit- és bájthalom, az őket körülvevő folyamatok és eljárások érvényesítése nélkül. .

Az önaláírt tanúsítványokat nem lehet megbízni, mert bárki képes elkészíteni.

Egy MITM támadást végrehajtó támadó bármely tanúsítványt könnyen helyettesítheti saját aláírással. az egyik, és megszemélyesíti az Ön által böngészett webhelyeket, még akkor is, ha HTTPS-t használ.

Ezért megbízható tanúsító hatóságokat használunk annak biztosítására, hogy a tanúsítványokat ne lehessen meghamisítani.

Mindannyiunknak szüksége van egy kis kontextusra.

Különbség van a "nem megbízható" és a biztonságos között.

És a "Megbízható" nem feltétlenül jelenti a biztonságos (vagy a hiteles) jelentést

Az önállóan aláírt tanúsítvány egy elkülönített hálózaton, ahol csak egy szerver és egy kliens működik, valószínűleg biztonságosabb, mint bármelyik "megbízható" tanúsítvány.

A "megbízható" pedig CSAK azt jelenti, hogy egy tanúsító hatóság tanúsítvány hozzá lett adva az ügyfél "Megbízható tanúsítványtárolójához". Ha a tanúsító hatóság tanúsítványát egy "adathalász" munkamenet során adták hozzá, akkor a tanúsítványban nincs semmi biztonságos.

Nem vagyok rajongó, hogy gyakran több száz "megbízható" tanúsító hatóságot helyeznek el a kliensben a "mások", de én sem tudok jobb megközelítésről.

A tanúsító hatóságoknak természetesen jobb "ellenőrzési" folyamatot kell végrehajtaniuk ( általában), mint most teszik, mielőtt kiadnák a Tanúsítványt.

Minden alkalmazásnak meg kell adnia a megbízható "gyökértanúsítványok" listáját.

Böngésző esetén van egy meghatározott lista, amely alapértelmezés szerint bármelyik böngészővel érkezik, de ez a lista nem tartalmazza a tanúsítványt.

Képzelje el, hogy nem kell megadnia a megbízható tanúsítványok listáját, akkor bárki képes lesz létrehozni egy https-webhelyet, amelyet a világ böngészője elfogadna, figyelmeztetés nélkül. biztonsági kockázat.

Másrészt a dobozból kifolyólag működne, ha a CA tanúsítványát maga az egyik alapértelmezett megbízható tanúsítvány írja alá ... de fizetnie kell.

Van elég válasz arra vonatkozóan, hogyan adhat hozzá CA tanúsítványt a megbízható listához, így ezt a részt kihagyom.

Ha böngészőknél szeretné megtenni, akkor tegye a következőket:

Chrome 58+ esetén: - Beállítások -> Speciális beállítások megjelenítése -> Tanúsítványok kezelése -> Importálás -> böngészés -> válassza a Megbízható lehetőséget Gyökértanúsító hatóságok -> kattintson az előugró ablakban az Igen gombra.