Modelo de confianza del certificado SSL

Navega tus respuestas
1

He estado mirando el modelo de confianza del certificado SSL y hay algo que no tiene sentido. Si estoy en lo cierto, el modelo de confianza hace que si hay una cadena de certificados con un certificado raíz de confianza en la parte superior de la cadena, todos los certificados de esta cadena serán de confianza. Esto no tiene sentido porque entonces podría crear un certificado válido para google.com con mi propio par de claves. Haría esto tomando la cadena de certificados de google.com, digamos Verisign, luego google.com. Dejaría el certificado raíz tal como está, pero modificará el par de claves en el certificado google.com. Esta cadena de certificados sería de confianza porque el certificado raíz es de confianza, por lo tanto, todos los demás certificados son de confianza. Esto te permitiría crear un hombre en el ataque central.

    
pregunta Java Is Cool 20.10.2014 - 04:35
fuente

2 respuestas

3

Los certificados SSL tienen un campo de extensión que define para qué se puede usar un certificado.

Cuando compra un certificado de VeriSign con su solicitud de firma de certificado, por lo general no incluirá el permiso de extensión para firmar certificados posteriores con su certificado; especialmente para cualquier dominio para el que no tienes autoridad.

Tome google.com por ejemplo (nodo raíz a hoja):

  1. Equifax Secure CA - Root CA (por lo tanto, autoridad implícita de firma descendente)
  2. GeoTrust Global CA: tiene la propiedad de Certificate Signer
  3. Google Internet Authority G2: tiene la propiedad de Certificate Signer pero solo puede firmar nodos de hoja
  4. * .google.com: certificado de dominio comodín sin autorización para firmar otros certificados.

El navegador comprueba la validez de la raíz a la hoja. Se supone que cualquier autoridad reclamada por una hoja o certificado intermedio ha sido autorizada por el certificado que la firmó; finalmente culminando en la confianza otorgada hacia y desde la Autoridad de Certificación de Raíz.

    
respondido por el LateralFractal 20.10.2014 - 05:09
fuente
3

Te estás perdiendo una parte muy importante de un certificado digital aquí. Esa parte es Firma digital . Básicamente, un certificado digital consiste en 3 partes :

  
  1. Una clave pública.
    2.   
  2. Información del certificado. (Información de "identidad" sobre el usuario,   como nombre, ID de usuario, etc.)
    3.   
  3. Una o más firmas digitales.
    4.   

Una firma digital es un hash encriptado del certificado. Básicamente es un resumen (por ejemplo, SHA-1) del propio certificado, codificado (verificado) por la clave privada de la CA. Esto es lo que le dice a su navegador que este certificado es verificado por alguien (alguien en quien su navegador también puede confiar).

Como dijiste, puedes tomar fácilmente un certificado y cambiarlo. Pero lo que realmente no puede cambiar aquí es esta firma digital (ya que no tiene la clave privada que pertenece a ese alguien de confianza). Por lo tanto, su navegador lo detectará de inmediato porque no podrá verificar la firma digital.

    
respondido por el Rahil Arora 20.10.2014 - 05:56
fuente

Lea otras preguntas en las etiquetas

¿Cómo generar una cadena impredecible pero corta? [cerrado] ¿Se nota cuando toma una copia de un sitio web?