О самоподписных сертификатах

Хорошо и правильно написано.
Только большинство вряд ли утруждает себя просмотром сертификата и сравниванием домена символ в символ.
Поэтому наличие подписанного verisign'ом сертификата снимает с богатеньких юзеров такую «трудновыполнимую» задачу «сличение» и повышает мнимый авторитет у сайта.

Получение сертификата (если у вас используется SSL) должно быть даже не на первом месте, а на нулевом. Ибо для стартапа главное — произвести хорошее впечатление. На пользователей, инвесторов, etc. А какое впечатление вы производите если у вас на сайте — сразу вот такой вот ляп?

Вот и всё. Это всё равно что придти к инвестору за деньгами без бизнес-плана, а с прикидками написанными на полях газеты. В принципе разницы-то никакой, но если вы с самого начала демонстрируете свою невменяемость, то кто с вами дело захочет иметь???

Просто штука в том, что если компания не готова потрать $20-30 для того, чтобы её клиентам было удобно и не приходилось принимать самоподписанные сертификаты и видеть разные страшные предупреждения в браузерах, то это наводит на разные мысли.

Скорее всего обычный человек, увидев сообщение о некорректном сертификате, напугается и уйдет. Стоят ли 20 долларов этих ушедших человек?

Всегда считал, что «правильны» подписанный сертификат это просто проявление вежливости и профессионализма.

>Единственное, что проверяется при выпуске сертификата — это то, принадлежит ли вам домен, для которого вы его запрашиваете

Ну сертификаты-то разные бывают, то про что вы пишите стоит по 30 бачей на год. А, к примеру, расширенная проверка и стоит дороже и гарантий там побольше, потому что с вас всю душу вытрясут, еще и лично домой приедут :) да еще и вместо желтого зелененький дают. Хотя согласен, что если прям у себя на сайте не принимаете креды, то парится насчет самоподписанного не стоит. Хотя и на ваш сегодняшний от гоутедди :) тоже ругается.

Кто нить сталкиватся с необходимостью загрузить по https флешом контент? Без нормального сертификата у меня не получилось уговорить флеш это сделать. Может кто нибудь это обошёл?

Trusted-сертификат спасет в случае использования подмены ДНС записи на уязвимом сервере.

Спасибо за статью, довольно исчерпывающе и интересно. Прочитал на одном дыхании :)

согласен с автором, более того ненужно выкидывать 500 баксов на сертификат, некоторые конторы дают такие сертификаты «в нагрузку» так что всё гораздо дешевле

Но многие вкладывают в сертификат SSL больший смысл:

… Если же сертификат выдан каким-нибудь Verisign-ом (для примера), то это некая «гарантия» что за этим сайтом стоит настоящая организация/частное лицо и уж как минимум «есть с кого спросить в случае чего». Т.е. вообще это как гарантия «серьезности» намерений владельцев сайта.

Мы прекрасно понимаем, что такое мнение имеет право на жизнь. Но ведь все не так просто. Ничто не мешает купить сертификат у Verisign или другого вендора на липовую контору или подставные личные данные. Они не могут проверить наличие у клиента юридических оснований выдавать себя за условные ООО «Рога и копыта» из г.Пермь, Россйская Федерация. Единственное, что проверяется при выпуске сертификата — это то, принадлежит ли вам домен, для которого вы его запрашиваете.

не хотелось бы вас расстраивать, но могут. все зависит от типа сертификата(цены). если вы покупаете у thawte SSL123 то проверяется лишь то, что сертификат приобретается владельцем домена. если вы будете покупать сертификат подороже, «на контору» то потребуют и копии уставных документов (нотариально заверенные переводы) и много чего еще. Т.е. сертификат выданный на ООО «Рога и копыта» был точно выдан ООО «Рога и копыта».

ну нормально подписанный сертификат, скажем, помогает от
en.wikipedia.org/wiki/Man-in-the-middle_attack

хм… примерно полгода назад имел счастье столкнуться с одной широко известной в Украине вообще и в Киеве в частности компанией по проведению платежей через Интернет. С моей стороны стояла задача обеспечить разбор данных о проведенных платежах со стороны компании, которой эти платежи предназначались. Политика секурности требовала наличия 1024-битного SSL-сертификата, причем даже самоподписанные принимались. И, к слову, организации, которая бы смогла в Киеве подписать такой сертификат, найти так и не удалось. Видимо, поэтому и подход к безопасности такой — «генерите, что хотите, всё подпишем, лишь бы по критериям секурности проходило».

сколько придумали, столько и сломали…
когда, что-либо взломают, это уже вопрос времени. так что, никому доверять(в интернете) ни в коем случае нельзя.

Пользуясь случаем, передаю привет крупнейшему интернет-провайдеру подмосковья Центртелеком («домолинк»), у которого в биллинге до сих пор стоит самоподписанный(!), просроченный на три года(!!) SSL-сертификат на неправильный домен(!!!).

Атака «человек посередине» не имеет никакого отношения ни к фишингу, ни к фармингу. Человеком посередине может быть ваш интернет-провайдер (например, там работает злобный админ, которому хочется почитать вашу бухгалтерию, посмотреть ваши номера кредиток и т.д.), может быть злобный работодатель (которому ужас как интересно, чем занимаются сотрудники в рабочее время) и т.д.

Злоумышленник перехватывает ваши запросы на 443 порт, подпихивая вам свой самоподписанный сертификат на тот домен, на который вы хотите зайти, сам в это время создает запрос на настоящий сервер и пересылает его ответ вам. Ваш браузер честно показывает страничку, только ругается, что сертификат выдан не известным вам удостоверяющим центром, а каким-то левым. Текстом там может быть написано, что угодно, что это Verisign, Thawte, название домена буковка в буковку совпадает — все там в порядке будет, только вот браузер будет честно предупреждать, что это может быть ненастоящий сайт.

Кстати, упомянутые тут WebMoney недавно купили себе wildcard-сертификат на *.webmoney.ru, просто еще не везде успели поставить.

Вы жжоте. Чесно. Весь этот SSL нужен для удостоверения личности в первую очередь.
Да, и посмотрите на досуге ettercap чтоли. Это то чем за 5 минут можно пойузать то, что вы отправили в наименее важные риски. Правда, конечно это ну суть касается самоподписанных сертификатов, но не далеко от того.

Вы действуете не оптимально… Допустим, я — инвестор. Если Вы на мой вопрос относительно того, почему Ваш сервер выдает лабуду при SSL соединении, начинаете нести всю ту пургу — я встаю и ухожу. Потому что мне будет непонятно, как я сам себе объясню в будущем, почему я связался с такими людьми.

Я мыслю так: есть один вариант, заплатить $20 и за 3 минуты получить нормальный сертификат — и второй вариант — объяснять битый час (который дороже двадцатки стоит) почему хорошо и без него.

Я, ни минуты не сомневаясь, уволю водителя, который экономит на лампочках стоп-сигнала. (И так их еще две осталось). Уволю врача, который экономит на анализе крови. (И так все видно). Уволю сисадмина, который в сервер ставит бу барахло (дешевле на двадцатку!).

PS Кстати, точно также я уйду, кстати, от стартапа, который меня будет на $0,5K разводить за верисайновский сертификат.

PPS Еще кстати, фиг Вы получите мерчант аккаунт через нормальный процессинг, если корзина будет без SSL шифрования работать или с самопальным сертификатом.