Na potrzeby tej dyskusji istnieje tylko kilka różnic między certyfikatami do podpisywania witryn internetowych:

1. Rozszerzona i standardowa walidacja (zielony pasek).
2. Liczba bitów w żądaniu certyfikatu (1024/2048/4096).
3. Łańcuch certyfikatów.

Łatwiej jest skonfigurować certyfikaty z krótszym łańcuchem zaufania, ale istnieją niedrogie certyfikaty z bezpośrednim lub tylko jednym poziomem głębokiego łańcucha. Możesz także niedrogo uzyskać większe certyfikaty 2048 i 4096 bitowe.

Dopóki nie potrzebujesz rozszerzonej walidacji, naprawdę nie ma powodu, aby kupować droższe certyfikaty.

Jest jedna konkretna korzyść, którą zapewnia większy dostawca - im bardziej główny dostawca, tym mniejsze prawdopodobieństwo, że jego zaufanie zostanie odebrane w przypadku naruszenia.
Na przykład DigiNotar jest mniejszą firmą, której zaufanie zostało odebrane we wrześniu 2011 roku.

Dobre rzeczy w innych odpowiedziach, pozwolę sobie dodać kilka uwag na temat prawidłowego zachowania urzędu certyfikacji.

Jeśli CA ma historię

• braku bezpieczeństwa egzekwowanie zasad,
• naruszenie umowy „CA zatwierdzony przez przeglądarkę”,
• podpisywanie nazw innych niż DNS używając swojego oficjalnego certyfikatu głównego (takiego jak adresy IP lub nieistniejące nazwy DNS, np. bosscomputer.private) ,
• braku przejrzystości informacje jego zachowanie i sprzedawcy,

oraz użytkownik końcowy (taki jak ja) sprawdzają Twój certyfikat i wiedzą o tym, co może źle wpłynąć na Ciebie. Zwłaszcza każdy CA będący pododdziałem firmy zajmującej się również przechwytywaniem połączeń .

Kiedy widzę USERtrust, COMODO lub Verisign w łańcuchu certyfikatów, nie jestem pod wrażeniem .

Z technicznego punktu widzenia jedyną rzeczą, która ma znaczenie, jest rozpoznawanie przeglądarki. Wszystkie zaufane autorytety mają prawie 100% pokrycia.

Mógłbym powiedzieć więcej, ale aby uniknąć dublowania wysiłków, oto prawie identyczne pytanie z wieloma dobrze uzasadnionymi odpowiedziami: Są wszystkie Czy certyfikaty SSL są równe?

W świetle ostatnich rewelacji NSA, powiedziałbym, że cała koncepcja komercyjnych głównych urzędów certyfikacji jest zasadniczo wadliwa i należy po prostu kupować od najtańszego CA, którego główny certyfikat jest instalowany w łańcuchach zaufania przeglądarki i systemu operacyjnego.

W praktyce potrzebujemy wielokrotnie zakorzenionych łańcuchów zaufania certyfikatów zamiast bieżących z pojedynczym rootem łańcuchy zaufania. W ten sposób zamiast ignorować rzeczywistą władzę rządów w zakresie „przymuszania” komercyjnych dostawców - po prostu otrzymasz certyfikat podpisany przez wiele (najlepiej antagonistycznych) rządów. Na przykład, niech Twoja witryna z meczami klatkowymi Bronies vs Juggalos jest podpisana przez USA, Rosję, Chiny, Islandię i Brazylię. Co może kosztować więcej, ale naprawdę zmniejszyłoby prawdopodobieństwo zmowy.

W przypadku certyfikatu walidacji domeny liczy się tylko to, czy przeglądarki akceptują certyfikat jako zaufany. Dlatego weź najtańszy certyfikat, któremu ufają wszystkie przeglądarki (lub wszystkie przeglądarki, na których Ci zależy). Nie ma żadnego istotnego powodu kryptograficznego, aby preferować jednego dostawcę od drugiego.

(Oczywiście będziesz musiał zapłacić więcej za certyfikat rozszerzonej walidacji, ale to zupełnie inna klasa certyfikatu. Myślę, że już to wiesz .)

Bez względu na to, z którym urzędem certyfikacji się wybierzesz, pewność użytkowników, że faktycznie komunikują się z Twoją witryną, a nie intruzem, jest tylko tak dobra, jak najgorszy urząd certyfikacji, któremu ufają ich przeglądarka - osoba atakująca, która chce sfałszować certyfikat, może kupić urząd certyfikacji, który stosuje złe praktyki. Dlatego nie widzę żadnego wiarygodnego argumentu, że wybór CA wpływa na bezpieczeństwo witryny, chyba że wybierzesz urząd certyfikacji, który generuje klucze prywatne, zamiast podpisywać klucz, który podasz, lub który nie zezwala na duże rozmiary kluczy.

Poza tym, jak powiedzieli inni, prawdopodobnie dobrym pomysłem jest unikanie CA, których połączenie złych praktyk i niewielkich rozmiarów sprawia, że ​​prawdopodobne jest, że ich zaufanie może zostać odebrane przez jedną lub więcej przeglądarek, ponieważ wpłynęłoby to na dostępność (i odbiór opinii publicznej) Twojej witryny.

Wkrótce będzie można Możesz otrzymać certyfikaty za niewielką opłatą wynoszącą zero euro dzięki Let's Encrypt.

Pod względem technicznym są tak dobre, jak inne (sprawdzanie poprawności bez rozszerzenia, w zasadzie bez zielonego paska w przeglądarkach), a głównym punktem jest zdolność przeglądarek do rozpoznania go jako zaufanego ( będzie są).

Jedyną wadą jest oddzwanianie z Lets 'Encrypt do Twojej witryny lub serwera DNS, co sprawia, że ​​generowanie certyfikatu jest bolesne (jeśli nie niemożliwe) dla (inne niż internetowe).

Ogólnie rzecz biorąc, dwie rzeczy, które prawdopodobnie możesz przekazać, to EV (ponieważ jest to tylko sztuczka z zielonym paskiem), a także SGC nie zapewnia dziś żadnych realnych korzyści (ponieważ dotyczy tylko przeglądarek z czasów IE5 i wcześniej)

Ta strona zawiera dobry przegląd tego, dlaczego należy unikać SGC: http://www.sslshopper.com/article-say-no-to-sgc-ssl-certificates.html

Pomijając techniczne aspekty szyfrowania certyfikatów, kwestią do rozważenia są zaufanie i reputacja. Jeśli obawiasz się tylko szyfrowania ruchu, możesz użyć prostego certyfikatu z podpisem własnym. Z drugiej strony, jeśli chcesz zapewnić poziom zaufania, że ​​Ty lub Twoja witryna naprawdę jesteście tym, za kogo się podaje, potrzebujecie certyfikatu z urzędu certyfikacji, któremu ufają ludzie.

CA osiąga ten poziom zaufania poprzez weryfikację osób, którym sprzedaje certyfikaty. Wielu tańszych dostawców certyfikatów osiąga niższe ceny dzięki zmniejszeniu ogólnych kosztów operacyjnych, a odbywa się to często dzięki mniej rygorystycznym procesom weryfikacji.

Pytanie nie powinno brzmieć „Kto jest najtańszym dostawcą certyfikatów”, ale raczej „Który dostawca certyfikatów ma niezbędną reputację i poziom zaufania, który zaakceptują użytkownicy lub potencjalni użytkownicy mojej usługi”.

P.S. Niestety w pewnym stopniu cały model i tak się psuje. Niewielu użytkowników sprawdza nawet, kto jest urzędem certyfikacji, który wystawił certyfikat, i mają niewielką wiedzę na temat danego łańcucha uprawnień.

Z pragmatycznego punktu widzenia dla witryny ze standardowymi użytkownikami jedynym kryterium, które ma znaczenie dla certyfikatu SSL, jest „czy jest obsługiwany przez przeglądarki, z których moi użytkownicy będą korzystać, aby uzyskać dostęp do witryny”. Dopóki jest, nie przeszkadza ci, że jest tak tani, jak to tylko możliwe.

Jakiś czas temu potencjalnym wyróżnikiem było to, czy certyfikat był EV SSL, czy nie, ale szczerze mówiąc, nie widziałem dobrego świadomość użytkowników, więc jest mało prawdopodobne, że będzie to warte swojej ceny.

Certyfikat SSL jest używany w dwóch celach.

• Jednym z nich jest zabezpieczenie transakcji online i prywatnych informacji, które są przesyłane między przeglądarką a serwerem WWW.
• Drugim jest zaufanie, SSL służy do zwiększania zaufania klientów. SSL zapewnia bezpieczną sesję Twojej witryny, oznacza to zaufanie klientów do Twojej witryny.

Każdy certyfikat ma własny proces weryfikacji, a po tym procesie urząd certyfikacji potwierdza wiarygodność Twojej firmy i wysyła certyfikat dla Twojej witryny.

Podstawowy tani certyfikat SSL potwierdza tylko urząd domeny i uwierzytelniony za pomocą systemu weryfikacji adresu e-mail osoby zatwierdzającej. Osoba zatwierdzająca może z łatwością uzyskać ten certyfikat w ciągu zaledwie kilku minut za pomocą ogólnego adresu e-mail.

Certyfikaty SSL OV i EV podparte są zaufaniem klienta, a dzięki ścisłemu procesowi uwierzytelniania zapewniają najwyższy poziom zaufania. EV SSL weryfikuje różnorodne elementy identyfikacji domeny i informacji biznesowych. Następuje ona po ręcznym procesie weryfikacji, a podczas tego procesu system nie weryfikuje lub oskarża Twoją firmę o potencjalne fałszywe działanie, wtedy Twoje zamówienie może zostać skierowane do ręcznej oceny.

Główna różnica we współczynniku zaufania i reputacji marki, podczas gdy Twoi klienci widzą zielony pasek adresu w przeglądarce, czują się bezpieczniej i zachęcają do dokonywania transakcji. W przeciwnym razie istnieją pewne różnice między innymi funkcjami, takimi jak szyfrowanie, zgodność z przeglądarkami, długość klucza, obsługa telefonów komórkowych itp.

W przeciwnym razie gwarancja certyfikatów wyjaśnia różnice. Urzędy certyfikacji zapewniają rozszerzoną gwarancję (od 1 000 do 1,75 mln USD) na wypadek niewłaściwego wydania certyfikatu SSL, który wyjaśnia wartość inwestycji w bezpieczeństwo witryny.

Chociaż koncentrujemy się na cenie certyfikatu, nie ma znaczenia, gdzie kupić certyfikat - urząd certyfikacji czy autoryzowany sprzedawca. Autoryzowany sprzedawca oferuje te same produkty SSL, takie same funkcje bezpieczeństwa, lepszą obsługę za rozsądną cenę.

Jason Parm jest powiązany z SSL2BUY (globalnym sprzedawcą SSL)

DV powinno wystarczyć dla większości przeglądarek

Artykuł „ Zrozumienie ryzyka i unikanie FUD” na temat Unmitigated Risk wspomina o trzech poziomach bezpieczeństwa podpisanych certyfikatów przez urząd certyfikacji. Do tych trzech dodam dwa niższe poziomy bezpieczeństwa możliwe bez certyfikatu podpisanego przez CA. To daje łącznie pięć poziomów bezpieczeństwa HTTP do rozważenia:

1. Brak TLS ( http: )
2. TLS z własnym certyfikatem -podpisane lub od innego nieznanego wystawcy
3. TLS z certyfikatem walidowanym w domenie (DV) od znanego wystawcy (organizacja nie jest częścią certyfikatu)
4. TLS z zatwierdzonym przez organizację (OV) certyfikat od znanego wystawcy (nazwa organizacji w certyfikacie)
5. TLS z certyfikatem Extended Validation od znanego wystawcy EV (nazwa i adres organizacji w certyfikacie)

Certyfikaty, które kup od komercyjnego urzędu certyfikacji będzie wynosić 3, 4 lub 5. Większość przeglądarek internetowych zezwala na wszystkie oprócz 2 bez ostrzeżenia pełnoekranowego, mimo że 2 jest lepsze niż 1 pod względem odporności na pasywne ataki. : URI z nieznanym CA daje fałszywe poczucie bezpieczeństwa, szczególnie przed człowiekiem w środku, podczas gdy http: URI daje prawdziwe poczucie niepewności.

Ale DV może przestraszyć Comodo Drago n użytkowników

Jednak mniejszość użytkowników korzysta z przeglądarki internetowej, która ostrzega również na 3. Kiedy użytkownik Comodo Dragon odwiedza witrynę HTTPS, która używa certyfikatu DV, wyświetla inną ikonę kłódki z trójkątem ostrzegawczym, który przypomina ikonę „mieszana zawartość pasywna”. Przed wyświetleniem witryny wyświetla także pełnoekranowy ekran ostrzegawczy. To ostrzeżenie przypomina przeglądarkę wyświetlaną w przypadku certyfikatu z podpisem własnym , a jego tekst zaczyna się następująco:

Wymiana informacji z tą witryną może nie być bezpieczna

Certyfikat bezpieczeństwa (lub SSL) dla tej witryny wskazuje, że organizacja, która ją obsługuje, mogła nie przejść przez zaufaną zewnętrzną weryfikację, że jest to legalna firma.

Ma to na celu powstrzymanie atakujących, którzy zarejestrują domenę bankofamerrica.example w przypadku „Banko Famer Rica” umieść pokolorowane, legalne treści o Kostaryce, uzyskaj certyfikat DV dla tej domeny, a następnie zmień go na witrynę podszywającą się pod Bank of America. Ma to również na celu powstrzymanie osoby atakującej, która włamie się do domeny, dodaje subdomenę, którą kontroluje, i uzyskuje certyfikat DV dla tej subdomeny. Jeden taki przypadek miał miejsce w grudniu 2015 r., po uruchomieniu bezpłatnego DV CA Let's Encrypt, ale widać, że wyświetla ten komunikat nawet na Facebooku.

Aby nie wystraszyć użytkowników Dragon, musisz unikać certyfikatów DV. Ale nie musisz kupować certyfikatu EV. Po prostu zrób listę urzędów certyfikacji, które chcą sprzedać Twojej organizacji certyfikat OV, którego certyfikat główny jest dostępny we wszystkich głównych przeglądarkach. W takim razie nie ma żadnego technicznego powodu, aby nie kupować najtańszego.

Jeśli prowadzisz swojego bloga jako osoba fizyczna, możesz nie kwalifikować się do uzyskania certyfikatu OV od żadnego CA. W takim przypadku musisz po prostu żyć z ostrzeżeniem w Dragon i możesz po prostu wybrać tani certyfikat DV, taki jak te oferowane przez StartSSL, WoSign lub Let's Encrypt.

Jest trochę za późno, ale dla innych osób, takich jak ja, szukających w Internecie certyfikatu SSL do kupienia, oto wynik moich badań:

Z technicznego punktu widzenia drogie certyfikaty SSL oferują dynamiczne pieczęcie, które oznacza dynamiczny obraz wyświetlany na stronie internetowej, który pokazuje aktualny czas i datę załadowania strony internetowej, co wskazuje, że pieczęć jest ważna dla domeny, w której jest zainstalowana, jest aktualna i nie wygasła. Po kliknięciu obrazu wyświetli się informacja z urzędu certyfikacji o profilu witryny, który potwierdza legalność witryny internetowej. Dzięki temu odwiedzający witrynę internetową będą mieli większe zaufanie do bezpieczeństwa witryny.

Pieczęć statyczna to po prostu statyczny obraz graficzny, który można umieścić na stronie internetowej w celu wskazania, skąd uzyskano certyfikat cyfrowy, jednak jest brak weryfikacji klikalności witryny, a obraz nie pokazuje aktualnej godziny i daty.

Ponadto, jeśli kupujesz droższy SSL, otrzymasz więcej pieniędzy z gwarancji oszustwa dla odwiedzających, ale tylko w przypadek, gdy Urząd wydał certyfikat oszustom, a odwiedzający stracił pieniądze, wierząc, że witryna jest legalna. Jeśli nie jesteś oszustem, nie ma powodu, dla którego powinieneś sięgać po drogi certyfikat, chyba że chcesz wyświetlać zielony pasek adresu i zwiększyć zaufanie odwiedzających.

Technicznie nie ma innej różnicy.

Istnieją 3 główne typy certyfikatów SSL

Pojedyncza domena

• Zabezpiecza wersje Twojej domeny zarówno z www, jak i bez www
• Przykłady: RapidSSL, Comodo Esential itp.

Wildcard

• Zabezpiecza wszystkie subdomeny dla pojedynczej domeny, w tym www i wersje bez www
• Przykłady Comodo Wildcard SSL, RapidSSL Wildcard itp.

Wiele domen

• Większość urzędów certyfikacji udostępnia 3-5 domen wraz z podstawowym planem cenowym
• Musisz zapłacić za każdą dodatkową domenę. Zwykle około 15-20 USD rocznie na domenę
• Przykłady Comodo Positive Multi Domain SSL

Również 3 rodzaje weryfikacji domeny

Aby uzyskać wydany przez Ciebie certyfikat SSL urząd certyfikacji musi potwierdzić, że jesteś tym, za kogo się podajesz, gdy zażądano od niego certyfikatu. Poniżej znajdują się 3 z procesów weryfikacji, które należy przejść, aby uzyskać certyfikat SSL.

1. Walidacja domeny

Musisz zweryfikować swoją domenę. Zwykle dzieje się tak za pośrednictwem linku URL wysłanego na jeden z e-maili w Twojej domenie lub podczas przesyłania pliku na serwer. Jak dotąd jest to najszybszy, najprostszy i najtańszy SSL. Gwarancja na oszustwa z tego typu walidacją wynosi do 10 000 USD.

2. Walidacja organizacji

Aby uzyskać jeden z tych certyfikatów, musisz dostarczyć dokumentację pomocniczą dotyczącą swojej organizacji. Ten proces jest nieco wolniejszy i może zająć nawet kilka dni. Ten rodzaj zabezpieczenia SSL jest wymagany w przypadku dużych witryn lub organizacji handlu elektronicznego, które przechowują poufne dane użytkowników. Zazwyczaj te certyfikaty zapewniają dynamiczne pieczęcie witryny i wyższą gwarancję do 1 500 000 USD w zależności od wystawcy.

3. Rozszerzona walidacja

To są najbardziej zaufane certyfikaty i spowoduje, że pasek adresu w przeglądarce zmieni kolor na zielony zawierający nazwę Twojej organizacji. Zdecydowanie najwolniejszy proces walidacji, nawet do tygodnia, w zależności od organu zewnętrznego weryfikującego Twoje dane. Będziesz musiał dostarczyć dokumenty potwierdzające SSL Authority, takie jak rejestracja firmy itp., A oni przekażą je stronie trzeciej w celu zweryfikowania ich ważności. Po pomyślnym zakończeniu tego procesu uzyskasz najwyższe zaufanie i gwarancję do 2 000 000 USD w zależności od wystawcy.

Jaki certyfikat kupić

To wszystko zależy od Ciebie. Istnieje wiele urzędów certyfikacji, które oferują wiele dla każdej potrzeby. Dla mnie głównym punktem jest nie wydawać, chyba że musisz. Podstawowy certyfikat SSL działa prawie tak samo, jak najdroższy SSL na rynku.

Oto kilka przydatnych linków.

Urzędy certyfikacji

• Comodo
• RapidSSL
• Thawte
• Symantec

Niektórzy z najtańszych sprzedawców

• Hostedo
• Namecheap
• Kup SSL

Chciałbym dodać, że chociaż technologia jest taka sama przy szyfrowaniu 256-bitowym, płacisz również za następujące czynniki:

Poziom walidacji - to jest ilość kontroli, które wydawca przeprowadzi, aby zweryfikować Twoją firmę lub witrynę.

Liczba domen - dla ilu domen ten certyfikat będzie ważny

Poziom zaufania - jak wspomniano powyżej członkowie, możesz płacić za różne typy walidacji, które są bardziej „zaufane” przez użytkowników, stąd różnica w cenie