¿Son dignos de confianza los certificados SSL / TLS gratuitos? ¿Pueden los proveedores de certificados detenerse en el tráfico? [duplicar]

Question

¿Son dignos de confianza los certificados SSL / TLS gratuitos? ¿Pueden los proveedores de certificados detenerse en el tráfico? [duplicar]

#1 de Jenny D (7 votos)

2

No sé nada acerca del cifrado, SSL, TLS, certificados y he encontrado varias compañías que ofrecen certificados SSL / TLS gratuitos .

¿Qué tan confiables son estas ofertas? ¿Por qué querría adoptar este cambio cuando no estoy seguro de poder confiar en esas ofertas?

Más aún, ¿podrían los proveedores de tales certificados interceptar el tráfico que se dirige entre el navegador y el servidor? En última instancia, se les otorga a las autoridades que obligan a los proveedores de certificados a hacerlo (acción legal del gobierno | NSA | etc.) oa los proveedores si lo hacen voluntariamente, ¿una puerta trasera de algún tipo para aprovechar el tráfico "seguro" y "cifrado"?

Me resulta difícil creer que algo que se ofrece de forma gratuita debería aumentar la seguridad de muchos sitios web. Más aún, por lo que incluso podría pensar que esto es algún tipo de estrategia de estafa para que los gobiernos | agencias | etc. puedo más fácilmente fisgonear en el tráfico ya sea teniendo algún tipo de copia de clave maestra u otra técnica desconocida para mí que implique la emisión de certificados "seguros" mientras que en realidad no lo son.

Perdóneme mi falta de conocimiento en este campo, quizás estoy mezclando algunos términos aquí, en cualquier caso me está costando mucho confiar en esta iniciativa. ¿Soy simplemente demasiado paranoico o las malas noticias del pasado aumentaron mi sensibilidad hacia esto?

enlace

¿Existe algún motivo técnico de seguridad para no comprar el certificado SSL más barato que pueda encontrar?

enlace

tls certificates certificate-authority

pregunta lowtechsun 18.03.2016 - 14:31

fuente

1 respuesta

Lea otras preguntas en las etiquetas tls certificates certificate-authority

¿Por qué no necesitamos un apretón de manos WPA en un ataque de MiP que falsifica ARP? ¿Autenticación mediante firma o MAC?

score 7 · Accepted Answer

Los certificados SSL utilizados en los servidores web tienen dos propósitos:

identifican el servidor web, de modo que las personas que visitan ese sitio pueden estar seguros de que no acceden al sitio equivocado.
cifran el tráfico, para que nadie pueda husmear en el tráfico.

Identificación

Para que cualquier CA se incluya en los navegadores comunes (es decir, Firefox, Safari, Chrome, Internet Explorer, ...), la CA debe seguir las reglas establecidas por CA / Browser Forum . Esto significa que deben hacer un esfuerzo para asegurarse de que un certificado que identifica example.com no se expida a nadie que no sea el propietario de ese dominio. Diferentes CA hacen esto de diferentes maneras. En el lado costoso, para obtener un certificado EV de Verisign, debe mostrar una prueba real de la propiedad del dominio, así como una prueba de su identidad y su autoridad para solicitar el certificado. Esto incluirá el papeleo real que los humanos inspeccionan, lo cual es, por supuesto, la razón por la cual sus certificados son caros. Por lo tanto, un certificado emitido en su programa de Validación Extendida es tan confiable como sea posible; debe poder estar seguro de que no solo es correcto el dominio, sino que también se verifica la organización mencionada en el certificado.

En el lado libre, LetsEncrypt solo necesita agregar un registro DNS específico o un recurso HTTP para demostrar su propiedad del dominio / servidor web. De esa manera, no tienen idea de su identidad real, pero sí saben que la persona que realiza la solicitud del certificado también tiene el control del dominio. Esa es toda la identificación que ofrecen sus certificados.

Si no es una empresa que necesita tener el nivel de confianza implícito en un certificado EV, todo lo que necesita es tener un certificado barato o gratuito. Si usted es un banco o una gran empresa, es probable que desee que las personas se sientan más seguras, por lo que estará dispuesto a pagar por el mayor nivel de identificación para que el nombre de su empresa aparezca junto al candado en la ventana del navegador.

Cifrado

TLS / SSL utiliza un par de claves pública / privada. La CA que emite el certificado lo hace firmando la tecla pública , también conocida como el certificado. Pero nunca ven la clave privada , y es la clave privada que se utiliza para cifrar el tráfico. Esto significa que la CA no tiene forma de husmear el tráfico.