क्या स्व-हस्ताक्षरित एसएसएल प्रमाणपत्र सुरक्षित हैं?


33

मैं एक सुरक्षित संबंध बनाना चाहता हूं, जब मैं अपने वेबमेल, phpMyAdmin , आदि में प्रवेश करता हूं ।

इसलिए मैंने ओपनएसएसएल के साथ अपने स्वयं के एसएसएल प्रमाणपत्रों पर हस्ताक्षर किए और अपाचे को पोर्ट 443 पर सुनने के लिए कहा।

क्या यह वास्तव में सुरक्षित है? क्या मेरे सभी पासवर्ड वास्तव में एक सुरक्षित और सुरक्षित परत के माध्यम से भेजे गए हैं? इससे क्या फर्क पड़ता है, अगर मैं वेरिसाइन से एसएसएल प्रमाण पत्र खरीदता हूं या अपने स्वयं के हस्ताक्षर करता हूं? दिन के अंत में, सभी डेटा वैसे भी मेरे सर्वर पर होंगे। तो बड़ा अंतर क्या है?

जवाबों:


40

यह सब भरोसे के बारे में है। यदि आपको सत्यापन से एक हस्ताक्षरित प्रमाण पत्र मिलता है तो आप यादृच्छिक ग्राहकों को साबित करते हैं कि आपके प्रमाण पत्र पर भरोसा है। यदि आप प्रमाणपत्र पर हस्ताक्षर करते हैं, तो जिन लोगों के पास आपके प्रमाणपत्र को उनके कंप्यूटर पर स्थापित नहीं किया गया है, वे यह सुनिश्चित नहीं कर सकते हैं कि उन पर मैन-इन-द-मिडल हमला नहीं किया जा रहा है ।

यदि आपका वेबसर्वर सिर्फ आपके द्वारा उपयोग किया जाता है, तो आपको अपने प्रमाणपत्र पर हस्ताक्षर करने के लिए वास्तविक CA (जैसे कि सत्यापन) की आवश्यकता नहीं है। बस उन मशीनों पर प्रमाणपत्र स्थापित करें जिन्हें आप उपयोग करना चाहते हैं और आप जाने के लिए अच्छे हैं।

संपादित करें: इसलिए अपने प्रश्न का उत्तर देने के लिए: हां सब कुछ एन्क्रिप्ट किया गया है और आप सुनिश्चित कर सकते हैं कि कोई भी आपके संवेदनशील डेटा को नहीं पढ़ सकता है यदि आप जानते हैं कि वेब ब्राउज़र को प्रस्तुत किया गया प्रमाण पत्र वास्तव में वह है जिसके साथ आपने वेब सर्वर सेटअप किया है।


12
सीए का उद्देश्य दूसरों को यह साबित करना है कि एक प्रमाण पत्र वह है जो आप कहते हैं कि यह किसका है। चूँकि आप पहले से ही जानते हैं कि प्रमाण पत्र किसके पास है, आप अपने स्वयं के सर्वर तक पहुँचने के लिए और अपना स्वयं का प्रमाण पत्र प्रस्तुत करने के संदर्भ में, कोई उद्देश्य नहीं है। हालाँकि, अन्य सुरक्षित रूप से आपके सर्वर तक नहीं पहुंच सकते, क्योंकि उनके पास यह जानने का कोई तरीका नहीं है कि किस प्रमाणपत्र पर भरोसा किया जाए। (आप जानते हैं - आपके द्वारा जारी किए गए एक पर भरोसा करें।)
डेविड श्वार्ट्ज

यह भी एक उचित दृष्टिकोण होगा यदि सर्वर को उन उपयोगकर्ताओं की सीमित संख्या द्वारा एक्सेस किया जाएगा जो प्रमाण पत्र को सत्यापित करने के लिए सीधे संपर्क कर सकते हैं - आपके परिवार के सदस्य, या एक छोटी कंपनी के कर्मचारी, उदाहरण के लिए।
bgvaughan

क्या कोई आदमी मध्य में हो सकता है जो एक सीए के साथ समन्वित है वह किसी के स्व-हस्ताक्षरित प्रमाण पत्र को ओवरराइड करता है? उदाहरण के लिए, बॉब ऐलिस की स्व-हस्ताक्षरित वेबसाइट से जुड़ता है, स्कार्ट बॉब को एक अलग प्रमाण पत्र भेजता है जिसे CA स्कार द्वारा हस्ताक्षरित किया जाता है, बॉब का ब्राउज़र कभी भी एसएसएल चेतावनी नहीं दिखाता है। क्या यह संभव है?
हैलो वर्ल्ड

14

यह सब भरोसे के बारे में है।

मान लीजिए कि आप एक लोकप्रिय वेबसाइट पर जाते हैं जो एक प्रमाण पत्र प्रस्तुत करती है। यह वेबसाइट कह रही है "यह वह है जो मैं हूं, आप मुझ पर भरोसा कर सकते हैं, क्योंकि मेरे पास किसी ऐसे व्यक्ति द्वारा हस्ताक्षरित परिचय पत्र है जिस पर आप भरोसा करते हैं।"

इस मामले में, 'आप जिस पर भरोसा करते हैं' वह प्रमाणपत्र प्रमाण पत्र में से एक है, जो (उम्मीद है) ने आपकी ओर से प्रमाणपत्र के प्रस्तुतकर्ता की पहचान स्थापित करने में पैर का काम किया है।

आप वास्तव में जिस पर भरोसा कर रहे हैं वह प्रमाण पत्र प्राधिकरण के विश्वास में ब्राउज़र लेखक का विश्वास है जो प्रमाण पत्र प्रस्तुत करने वाले व्यक्ति की पहचान में है। आपके और प्रस्तुतकर्ता के बीच अक्सर एक से अधिक प्राधिकरण होते हैं, इसलिए शब्द: 'ट्रस्ट चेन'। [1]

जब आप अपने प्रमाण पत्र पर हस्ताक्षर करते हैं, तो कोई विश्वास श्रृंखला नहीं होती है। आपकी साइट आपके स्वयं के प्रमाण पत्र को आपके सामने प्रस्तुत कर रही है। यदि आप अपने ब्राउज़र में अपना प्रमाणपत्र स्थापित करते हैं , जिस पर आप भरोसा करते हैं, तो उसे एक प्राधिकरण के रूप में माना जाता है, वही जो पहले से स्थापित हैं। फिर आपके पास केवल एक लिंक के साथ एक ट्रस्ट चेन है।

यदि आप अपनी खुद की साइटों पर जाते हैं और आपका ब्राउज़र आपको चेतावनी देता है कि यह एक अविशिष्ट प्रमाण पत्र प्रस्तुत कर रहा है, तो आपको चिंता का कारण होना चाहिए, क्योंकि किसी भी अन्य साइट के साथ जो बिना प्रमाण पत्र प्रस्तुत करता है, तो आप निश्चित नहीं हो सकते कि आप वास्तविक साइट के साथ संवाद कर रहे हैं।

ध्यान दें कि मैंने अभी तक एन्क्रिप्शन का कोई उल्लेख नहीं किया है। प्रमाणपत्र उस पार्टी की पहचान को प्रमाणित करने के बारे में है जिसके साथ आप संवाद कर रहे हैं। विश्वसनीय प्रमाणपत्रों के माध्यम से आपके लिए यह सुनिश्चित करने का एक तरीका है कि आपकी दुकान या बैंक वास्तविक है। एक बार जब आप अपनी पहचान स्थापित कर लेते हैं, तो आपके बीच संचार को सुरक्षित रखना अगला कदम है। ऐसा होता है कि इस सुरक्षा को सुगम बनाने के लिए आवश्यक प्रमाणपत्र भी उनके भीतर होते हैं। यह मानते हुए कि आपने अपना एसएसएल सही ढंग से सेट किया है, तो यह कम्यूनिकिटॉन उतना ही सुरक्षित है जितना कि आप अपनी दुकान या बैंक के साथ हैं, और आपके पासवर्ड समान रूप से सुरक्षित हैं। [२]

[१] यह किसी भी तरह से एक निर्दोष प्रणाली नहीं है। एक मुक्त बाजार और एक कम-मार्जिन, उच्च मात्रा वाला व्यवसाय अनिवार्य रूप से लागत में कटौती की ओर जाता है: http://www.theregister.co.uk/2011/04/11/state_of_ssl_analysis/

[२] कम से कम, पर्याप्त रूप से संरक्षित किया गया है कि आपके घर में किसी को तोड़ने के लिए आपके रहस्यों को आप से बाहर करने के बजाय उन्हें दरार करने का प्रयास करना सस्ता है: http://xkcd.com/538/


11

वास्तव में, स्व-हस्ताक्षरित प्रमाण पत्र सुरक्षित हो सकते हैं, बस उस मॉडल के तहत नहीं जो हम अभी उपयोग कर रहे हैं।


व्यापक रूप से फैले सीए (सर्टिफिकेट अथॉरिटी) मॉडल के तहत जो वर्तमान में हर कोई उपयोग करता है, एक विश्वसनीय सीए द्वारा हस्ताक्षरित प्रमाण पत्र का उद्देश्य प्रमाणीकरण प्रदान करना है।

जब हमें एक प्रमाण पत्र मिलता है, तो हम वास्तव में देखते हैं कि दीवार में जैक से 1 और 0 आ रहा है; हमें पता नहीं है कि वे 1 और 0 कहां से आए हैं। हालाँकि, क्योंकि CA द्वारा प्रमाण पत्र पर हस्ताक्षर किया जाता है - ऐसा कुछ जो दुनिया में कोई भी नहीं है जो कि CA के अलावा कोई भी कर सकता है - और क्योंकि हम प्रमाण पत्र के मालिक की पहचान को सत्यापित करने के लिए CA पर भरोसा करते हैं, हमें भरोसा है कि प्रमाणपत्र यह दावा करता है कि कौन आता है सेवा मेरे।

बेशक, यदि CA समझौता किया है या मालिक को सही ढंग से सत्यापित नहीं करता है , तो सभी दांव बंद हैं।


हालांकि, एक और मॉडल है, जिसके तहत स्व-हस्ताक्षरित प्रमाण पत्र प्रामाणिकता प्रदान करते हैं। इसे नोटरी मॉडल कहा जाता है ।

अनिवार्य रूप से, एक एकल सीए पर भरोसा करने के बजाय, हम ट्रस्ट को किसी भी संख्या के नोटरी में वितरित करते हैं । ये नोटरी सर्टिफिकेट की तलाश में इंटरनेट को खंगालते हैं, जो सारे सर्टिफिकेट्स का कैश रखते हैं। जब आप पहली बार किसी साइट पर जाते हैं और प्रमाणपत्र प्राप्त करते हैं, तो आप विश्व स्तर पर वितरित नोटरी से पूछते हैं कि उन्होंने जो अंतिम प्रमाण पत्र देखा था वह क्या था। यदि वे आप जो देख रहे हैं, उससे असहमत हैं, तो आप एक मध्य-आक्रमण का हिस्सा हो सकते हैं।

इस मॉडल के तहत, स्व-हस्ताक्षरित प्रमाण पत्र पूरी तरह से सुरक्षित हैं, जब तक हम यह मान लेते हैं कि सर्वर ने तुरंत कोई समझौता नहीं किया है इससे पहले कि कोई नोटरी कभी भी इसका प्रमाण पत्र नहीं देख सकता है।


नोटरी-मॉडल अभी भी अपनी प्रारंभिक अवस्था में है, और इसका संदेह यह कभी सीए मॉडल पर ले जाएगा (वास्तव में, यह नहीं है - उन्हें अग्रानुक्रम में इस्तेमाल किया जा सकता है) । अब तक का सबसे आशाजनक प्रोजेक्ट Convergence.io है , जिसमें फ़ायरफ़ॉक्स के लिए एक प्लगइन है।


2

यह विश्वास के बारे में सब नहीं है ...।

एसएसएल सीरट्स दो उद्देश्यों की सेवा कर सकते हैं - 1) वह वेब सर्वर है जिसे आप कनेक्ट करना चाहते हैं; और 2) संचार एन्क्रिप्ट करने के लिए।

आपके पास # 1 बिना # 2 हो सकता है जो आपने पूरा किया है। फिर जो बचा है वह सत्यापन है कि जिस बॉक्स को आप कनेक्ट कर रहे हैं वह वही है जो आप चाहते हैं।

यदि यह मेरा सर्वर है, तो मेरे पास स्वयं से हस्ताक्षरित प्रमाण पत्र का उपयोग करने के साथ कोई समस्या नहीं है - हालांकि कुछ जोखिम है कि कोई मेरा के बजाय अपने सर्वर से कनेक्ट करने के लिए चीजों को खराब कर सकता है। चूंकि कोई भी मेरे और मेरे सर्वर की परवाह नहीं करता है और यहां मेरा बहुत कम मूल्य है, इसलिए मुझे इसमें बहुत अधिक जोखिम नहीं दिखता है।

दूसरी ओर, अगर मेरा एक सर्वर के बजाय यह तुम्हारा एक सर्वर था, तो मुझे चिंता होगी।


क्या आप यह कहने जा रहे हैं: "यदि यह आपका सर्वर है तो मुझे चिंता नहीं होगी"?
चेरुन

नहीं, उन्होंने कहा "अगर यह मेरा सर्वर है तो मेरे पास कोई मुद्दा नहीं है ... यदि यह आपका सर्वर है तो मेरे पास मुद्दे हैं"।
फ्रांसेस्को

आप गलत हैं। कोई भी चीजों को आप के बजाय उनके सर्वर से कनेक्ट करने के लिए खराब कर सकता है। उनके पास कोई कुंजी नहीं है जो आपके द्वारा जारी किए गए स्व-हस्ताक्षरित प्रमाण पत्र से मेल खाती है, और जब तक आप इसे स्वीकार नहीं करेंगे, तब तक आप एक अलग प्रमाण पत्र पेश नहीं कर सकते।
डेविड श्वार्ट्ज

@ चेरा मेरा कहना था कि मुझे मुझ पर भरोसा है - आप पर (या किसी और पर) नहीं। आप खुद पर भरोसा कर सकते हैं।
20

1
-1। हैंडशेक के दौरान बातचीत की गई सममित कुंजी का उपयोग करके एन्क्रिप्शन किया जाता है। बेशक, आप रिमोट पार्टी की पहचान की जांच करने के लिए प्रमाण पत्र का उपयोग करते हैं, अन्यथा संचार को एन्क्रिप्ट करने के लिए बहुत कम बिंदु होंगे (यह एक एमआईटीएम हो सकता है)। यदि यह आपका सर्वर और स्व-हस्ताक्षरित प्रमाण पत्र है, तो अपने ग्राहक में स्पष्ट रूप से अपना प्रमाणपत्र आयात करें।
ब्रूनो
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.