En SSL / TLS, ¿cómo se verifica la autenticidad del certificado de un servidor?

0

Cita de un artículo en computerworld.com p>

  

"La clave privada se usa para firmar la clave pública TLS del servidor, que   actualmente es utilizado por los navegadores para validar los certificados SSL . "

Tengo entendido que los certificados SSL se verifican utilizando la clave pública de la CA firmante o las claves públicas en una cadena de confianza, cuando sea necesario. Una vez que se verifica el certificado, puede estar seguro de la autenticidad de la clave pública del servidor que se encuentra en el certificado. La oración que mencioné anteriormente hace que parezca que la clave pública TLS se usa para verificar la autenticidad del certificado, lo que no tiene sentido para mí. ¿Alguien puede confirmar que lo que dije es correcto o explicar por qué lo que el autor dijo es correcto? Puse en negrita la parte pertinente de la cita, ya que el resto es sobre TACK, un nuevo protocolo destinado a reforzar los certificados TLS.

    
pregunta KyleM 05.01.2013 - 00:15
fuente

1 respuesta

3

El artículo trata sobre una extensión llamada TACK, que funciona más como SSH que un sistema de CA tradicional.

Con un sistema de CA tradicional, la CA firma (con la clave privada de la CA) el certificado que contiene la clave pública de los servidores, luego los navegadores utilizan un almacén integrado de claves públicas de CA confiables para verificarlo, con la capacidad de tener Las cadenas y las CA intermediarias tienen más de 600 organizaciones en el último recuento (datos del Observatorio SSL de la EFF).

TACK funciona más como SSH donde recordamos la clave pública de los servidores de la primera conexión y verificamos que coincida. Todavía se necesita hacer algún otro tipo de verificación en la primera conexión, pero luego se puede verificar que la clave sea la esperada sin la necesidad de una autoridad de certificación. También un uso automático generalizado también tendría que manejar la invalidación en caso de compromiso clave. En TACK para gestionar esto, hay un segundo par de llaves que es el que el servidor recuerda en lugar del principal, lo que permite una forma inteligente de manejar la invalidación.

    
respondido por el ewanm89 05.01.2013 - 01:28
fuente

Lea otras preguntas en las etiquetas