हाल ही में हमारी इन्फ्रास्ट्रक्चर टीम ने हमारी विकास टीम को बताया कि आपको https के लिए प्रमाणपत्र की आवश्यकता नहीं है। उन्होंने उल्लेख किया कि एक प्रमाण पत्र खरीदने का एकमात्र लाभ उपभोक्ता को मन की शांति देना था जो वे सही वेबसाइट से जुड़ रहे हैं।
यह सब कुछ के खिलाफ जाता है जिसे मैंने https के बारे में माना।
मैं विकिपीडिया पढ़ता हूं और यह उल्लेख करता है कि आपको https कॉन्फ़िगर करने के लिए या तो एक विश्वसनीय प्रमाणपत्र या स्वयं हस्ताक्षरित प्रमाणपत्र की आवश्यकता है।
क्या बिना किसी प्रमाणपत्र के https का जवाब देने के लिए IIS को कॉन्फ़िगर करना संभव है ?
7
आप पा सकते हैं कि यह सिर्फ एक संचार मुद्दा है। आपके सर्वर में संभवतः स्व-हस्ताक्षरित सीट्स हैं जो जाने के लिए तैयार हैं। संयोग से, यह वह चेतावनी है जिसे आप सार्वजनिक विश्वसनीय प्रमाणपत्र का उपयोग करके टालते हैं : m86security.com/kb/article.aspx?id=13446 यह आपके वातावरण में स्वीकार्य हो सकता है या नहीं। मैं कहूंगा कि यह सिर्फ मन की शांति से अधिक है - एक सार्वजनिक वेबसाइट में यह व्यावसायिकता का संकेत है!
—
दान 12
स्व-हस्ताक्षरित सेर आपको एन्क्रिप्शन प्रदान करते हैं, लेकिन यह बीच के हमलों में आदमी से रक्षा नहीं कर सकता है, क्योंकि आपको स्वयं-हस्ताक्षरित के लिए अमान्य या असत्यापित के बारे में एक ही चेतावनी मिलती है जैसा कि आप किसी व्यक्ति द्वारा ट्रैफ़िक को बाधित करने, उसे डिक्रिप्ट करने के लिए करते हैं, डेटा को चुरा रहा है, और ग्राहक को वापस करने के लिए इसे पुनः एन्क्रिप्ट कर रहा है।
—
बार्ट सिल्वरस्ट्रिम
"स्व-हस्ताक्षरित सिंट आपको एन्क्रिप्शन देते हैं, लेकिन यह मध्य हमलों में आदमी से रक्षा नहीं कर सकता [...]", जब तक कि उपयोगकर्ता उन स्व-हस्ताक्षरित प्रमाणपत्रों पर कुछ आउट-ऑफ-बैंड तंत्र द्वारा स्पष्ट रूप से भरोसा नहीं कर सकता, जो है केवल एक छोटे से उपयोगकर्ता आधार के लिए वास्तविक रूप से संभव है जो आपको इस तरह के आउट-ऑफ-बैंड तंत्र के माध्यम से जानता है। वास्तव में, वास्तव में।
—
ब्रूनो
या यदि वे पहली बार इस पर भरोसा करते हैं, तो भविष्य में इसमें बदलाव होने पर उन्हें चेतावनी दी जाएगी। एसएसएच हस्ताक्षर की तरह, वास्तव में।
—
mfinni
संचार माध्यम को सुरक्षित करने के लिए तकनीकी रूप से एसएसएल / टीएलएस को प्रमाणपत्र की आवश्यकता नहीं होती है । वास्तव में यह एसएसएल / टीएलएस चैनल को सुरक्षित करने के लिए अन्य तंत्र का उपयोग कर सकता है: पीजीपी सेर्ट्स, उपयोगकर्ता नाम / पासवर्ड, पूर्व-साझा कुंजी, या "अनाम" (कोई प्रमाणीकरण नहीं)। इसी तरह एसएसएल / टीएलएस एन्क्रिप्शन की गारंटी नहीं देता है, कई अलग-अलग साइबर हैं जो इसका उपयोग कर सकते हैं, जिसमें "नल" (बिल्कुल भी एन्क्रिप्शन नहीं) शामिल है। और पाचन प्रमाणीकरण के लिए समान विकल्प हैं। तो यह सब बहुत अच्छा है, लेकिन कौन से कार्यक्रम इसका उपयोग करते हैं: मूल रूप से कोई भी नहीं, निश्चित रूप से कोई प्रमुख सर्वर या ब्राउज़र सॉफ़्टवेयर नहीं है (इन सभी को प्रमाण पत्र की आवश्यकता होती है)।
—
क्रिस एस