見つけることができる最も安いSSL証明書を購入しないという技術的なセキュリティ上の理由はありますか？
私のブログの基本的なSSL証明書を購入していると、有名な認証局の多くがエントリレベルの証明書（購入者のIDの検証がそれほど厳格ではない）で約120ドル以上であることがわかりました。しかし、その後、Network Solutionsが4年間の契約で、これらのローエンド証明書の1つを$ 29.99（12時間前は$ 12.95）で提供していることを発見しました。
ローエンドの証明書の購入を後悔する可能性があることを認識しておくべき技術的なセキュリティ上の理由はありますか？それらはすべて、99％のブラウザー認識などのことを約束します。CAのサポートの品質（またはその欠如）などの比較のために、SEでこの質問をするつもりはありません。暗号またはPKIの理由があるかどうかを知りたいので、費用が非常に少ない証明書は避けてください。他と同様に、「最大256ビットの暗号化」を提供すると言っています。
この説明では、Web署名証明書にはいくつかの違いがあります。
- 拡張と標準の検証（緑色のバー）。
- 証明書要求のビット数（1024/2048/4096）。
- 証明書チェーン。
短い信頼チェーンで証明書を設定する方が簡単ですが、直接または1レベルのみの深いチェーンを持つ安価な証明書があります。より大きな2048ビットと4096ビットの証明書を安価に入手することもできます。
拡張された検証が必要ない限り、より高価な証明書を使用する理由は本当にありません。
より大きなベンダーと一緒に行くことで得られる具体的な利点が1つあります。ベンダーがメインラインであるほど、違反の際に信頼が取り消される可能性が低くなります。
例 DigiNotar は、2011年9月に信頼を取り消されたのは残念なことに小規模なベンダーでした。
他の答えで良いもの、私は適切なCAの動作についていくつかのコメントを追加させてください。
CAに履歴がある場合
- セキュリティの欠如ポリシー施行、
- violation「ブラウザ承認CA」契約の、
- of 非DNS名の署名公式ルート証明書を使用（IPアドレスなどの存在しない、または存在しないDNS名f.ex.
bosscomputer.private）、 - 透明性の欠如その動作とそのリセラーについて、
エンドユーザー（私のような）が証明書を検査し、これを知っていると、ユーザーに悪影響を及ぼす可能性があります。特に接続の傍受のビジネスにも関与する会社の下位区分であるCA。
証明書チェーンにUSERtrust、COMODO、またはVerisignが表示されたとき、私は前向きに感心していません。
技術的な観点から見ると、重要なのはブラウザの認識だけです。そして、すべての信頼できる当局は、ほぼ100％をカバーしています。
もっと言えるかもしれませんが、重複する作業を避けるために、ここではほぼ同じ質問で、十分な理由のある応答を多数用意しています。 すべてのSSL証明書は等しいですか？
最新NSA revelations に照らして、商用ルートCAの概念全体は基本的に欠陥があるブラウザとオペレーティングシステムの信頼チェーンにルート証明書がインストールされている最も安いCAから購入するだけです。
実際には、現在の単一ルート信頼チェーンではなく、多重ルート証明書信頼チェーンが必要です。そうすれば、政府が "coerce" 商用プロバイダーに与える本当の力を無視する代わりに、複数の（できれば敵対的な）政府が署名した証明書を取得するだけです。たとえば、米国、ロシア、中国、アイスランド、ブラジルが署名したBronies vs Juggalosのケージマッチのウェブサイトがあるとします。これはもっと費用がかかるかもしれませんが、本当に共謀の可能性を減らします。
どのCAを使用しても、攻撃者ではなく実際にサイトと通信しているというユーザーの保証はブラウザが信頼する最悪のCAと同じ程度-偽造したい攻撃者証明書は、悪い習慣のあるCAを購入することができます。したがって、提供するキーに署名するのではなく秘密キーを生成するCAを選択するか、大きなサイズのキーを許可しないCAを選択しない限り、CAの選択がサイトのセキュリティに影響を与えるというもっともらしい議論はありません。
それ以外は、他の人が言ったように、悪い慣行と小さなサイズが混在しているCAは、アクセシビリティ（および一般の認識）に影響を与えるため、1つ以上のブラウザーによって信頼が取り消される可能性が高いと思われるのを避けるのはおそらく良い考えです。 ）あなたのサイトの。
ドメイン検証証明書の場合、重要なのは、ブラウザが証明書を信頼できるものとして受け入れるかどうかだけです。したがって、すべてのブラウザー（または関心のあるすべてのブラウザー）によって信頼されている最も安価な証明書を使用してください。あるサプライヤを他のサプライヤよりも優先する重要な暗号上の理由はありません。
（もちろん、延長された検証証明書に対しては追加料金を支払う必要がありますが、それはまったく別のクラスの証明書です。私はすでにそれを知っていると思います。）
あなたはすぐにできるようになります Let's Encrypt。を使用すると、0ユーロという低コストで証明書を取得できます。
それらは技術的には他のどれよりも優れています（拡張検証ではなく、基本的にブラウザーに緑色のバーがありません）。主なポイントは、ブラウザーがそれを信頼できると認識する能力です（ 意志 ある ）。
唯一の欠点は、Lets 'EncryptからサイトまたはDNSへのコールバックがあり、内部（インターネット以外）サイトの証明書の生成が（不可能ではないにしても）困難になることです。
一般に、おそらく渡すことができる2つのことはEV（それは単なる緑色のバーギミックであるため）であり、SGCは本当のメリットを今日提供していません（IE5以前のブラウザーにのみ適用されるため）
このサイトは、SGCを回避する理由の概要を提供します。 http://www.sslshopper.com/article-say-no-to-sgc-ssl-certificates.html
証明書の暗号化の技術的な側面を無視して、考慮すべき問題は信頼と評判です。トラフィックの暗号化のみに関心がある場合は、単純な自己署名証明書を使用できます。一方、あなたまたはあなたのサイトが実際に誰であるか、または何であるかを信頼するレベルを提供することを達成したい場合は、人々が信頼する認証局からの証明書が必要です。
CAは、証明書を販売する人々を審査することにより、このレベルの信頼を実現します。安価な証明書プロバイダーの多くは、運用上のオーバーヘッドを減らすことで低価格を実現しており、これは多くの場合、厳密な審査プロセスを少なくすることで行われます。
質問は「最も安い証明書プロバイダーは誰ですか」ではなく、「どの証明書プロバイダーが、私のサービスのユーザーまたは潜在的なユーザーが受け入れる必要な評判と信頼レベルを持っているか」ではありません。
追伸残念ながら、ある程度、モデル全体がとにかく壊れています。証明書を発行したCAが誰であるかを確認し、関与する一連の権限についてほとんど知識も理解もしていないユーザーもほとんどいません。
標準タイプのユーザーがいるサイトの実用的な観点から見ると、SSL証明書にとって重要な唯一の基準は、「ユーザーがサイトにアクセスするために使用するブラウザーでサポートされているかどうか」です。それが限り、あなたはそれが可能な限り安くても大丈夫です。
しばらくの間、潜在的な差別化要因は、証明書がEV SSLであるかどうかでしたが、正直に言うと、ユーザーの認識があまりよくないので、お金に見合う価値があるとは思えません。
SSL証明書は2つの目的で使用されます。
- 1つは、オンライントランザクションと、WebブラウザーとWebサーバーの間で送信される個人情報を保護することです。
- 2つ目は信頼、SSLは顧客の信頼を高めるために使用されます。 SSLはあなたのウェブサイトの安全なセッションを証明します、それはあなたのウェブサイトに対するあなたの顧客の信頼を意味します。
各証明書には独自の検証プロセスがあり、このプロセスに従って認証局はビジネスの信頼性を検証し、Webサイトの証明書を送信します。
基本的な安価なSSL証明書は、ドメイン認証局のみを検証し、承認者の電子メール検証システムを使用して認証されます。承認者は、一般的な電子メールアドレスを使用して、わずか数分でこの証明書を簡単に取得できます。
OVとEVのSSL証明書は顧客の信頼にプラグインされ、その厳密な認証プロセスを通じて、最高レベルの信頼を提供します。 EV SSLは、ドメインとビジネス情報を識別するためのさまざまなコンポーネントを検証します。それは手動の検証プロセスに従い、このプロセス中にシステムがビジネスの検証に失敗するか、システムの被告が潜在的な偽の行動についてあなたのビジネスを検証しなかった場合、注文は手動のレビューに並ぶ可能性があります。
信頼係数とブランドの評判の主な違いは、顧客がブラウザに緑色のアドレスバーを表示している間、彼らはより安全に感じ、取引を行うことを奨励しています。それ以外の場合、暗号化、ブラウザの互換性、キーの長さ、モバイルサポートなどの他の機能とのいくつかの違い。
それ以外の場合、証明書の保証で違いが説明されます。認証局は、SSL証明書の誤発行に対する拡張保証（$ 1Kから$ 1.75M）を提供しており、Webサイトのセキュリティへの投資の価値を説明しています。
証明書の価格に重点を置いていますが、証明書をどこで購入するかは問題ではありません。認証局や認定リセラーなどです。認定リセラーは、同じSSL製品、同じセキュリティ機能、より優れたサポートを手頃な価格で提供しています。
Jason Parmは SSL2BUY （Global SSL Reseller）と提携しています。
少し遅いですが、SSL検索で購入するSSL証明書を見つけるためにWebを検索している他のユーザーにとって、これは私の調査の結果です。
技術的な面では、高価なSSL証明書は動的なシールを提供します。これは、ウェブサイトに表示される動的な画像を意味します。これは、ウェブページが読み込まれたときの現在の日時を示し、シールがインストールされているドメインに対して有効であり、最新で期限切れではありません。画像をクリックすると、Webサイトの正当性を検証するWebサイトのプロファイルに関する認証局からの情報が表示されます。これにより、Webサイトの訪問者は、サイトのセキュリティに対する信頼が高まります。
静的シールは、デジタル証明書の取得元を示すためにWebサイトに配置できる静的なグラフィック画像ですが、Webサイトのクリックスルー検証は行われず、画像には現在の日時が表示されません。
また、より高価なSSLを購入する場合は、訪問者の詐欺の保証でより多くのお金を得ることができますが、当局が詐欺師に証明書を発行し、訪問者がウェブサイトが正当であると信じてお金を失った場合にのみです。詐欺師でない場合は、緑色のアドレスバーを表示して訪問者の信頼を高めたい場合を除き、高価な証明書を購入する必要はありません。
技術的には他に違いはありません
SSL証明書には主に3つのタイプがあります
単一ドメイン
- ドメインのwwwバージョンとwww以外のバージョンの両方を保護します
- 例：RapidSSL、Comodo Esentialなど。
ワイルドカード
- Wwwおよびwww以外のバージョンを含む単一ドメインのすべてのサブドメインを保護します
- 例Comodo Wildcard SSL、RapidSSL Wildcardなど。
マルチドメイン
- ほとんどの認証局は、基本的な価格プランで3〜5個のドメインを提供しています
- 追加のドメインごとに支払う必要があります。通常、ドメインあたり$ 15〜$ 20程度
- Comodo Positive Multi Domain SSLの例
また、3種類のドメイン検証
SSL証明書を発行するために、認証局は証明書を要求されたときに、本人であることを確認する必要があります。 SSLを取得するときに実行する必要がある検証プロセスの3つを次に示します
1。ドメイン検証
ドメインを検証する必要があります。通常、これはドメインのメールの1つに送信されたURLリンクを介して、またはサーバーへのファイルのアップロードによって発生します。これは、断然、最も速く、最もシンプルで、最も安価なSSLです。このタイプの検証による詐欺に対する保証は、最大$ 10,000です。
2。組織の検証
この証明書の1つを取得するには、組織に関するサポートドキュメントを提供する必要があります。このプロセスは少し遅く、数日かかる場合があります。このタイプのSSLセキュリティは、機密のユーザーデータを保存する大規模なeコマースWebサイトまたは組織に必要です。通常、この証明書は動的なサイトシールを提供し、発行者に応じて最大$ 1,500,000のより高い保証を提供します。
3。拡張検証
これは最も信頼できる証明書であり、組織の名前を含む緑色のブラウザのアドレスバーに変わります。詳細を確認する外部機関によっては、最長で最長1週間の検証プロセス。会社設立などのSSL権限をサポートするドキュメントを提供する必要があります。これらのドキュメントは第三者に渡され、有効性を確認します。このプロセスが正常に完了すると、発行者に応じて最高$ 2,000,000の最高の信頼と保証が得られます。
購入する証明書
これはすべてあなた次第です。多くの認証局がそれぞれのニーズに対応しています。私にとって主なポイントは、必要がない限り費やさないことです。基本的なSSL証明書は、市場で最も高価なSSLとほとんど同じです。
ここにいくつかの便利なリンクがあります
認証局
最も安いリセラーのいくつか
ほとんどのブラウザではDVで十分です
Unmitigated Riskの記事「 Understand risk and prevent FUD 」では、認証局によって署名された証明書の3つの保証レベルについて言及しています。これら3つに、CA署名付き証明書なしで可能な2つの低い保証レベルを追加します。これにより、合計で5つの層のHTTPセキュリティが考慮されます。
- TLSなし（
http:） - 自己署名された証明書またはその他の未知の発行者からの証明書を使用したTLS
- 既知の発行者からのドメイン検証済み（DV）証明書を使用したTLS（証明書の一部ではない組織）
- 既知の発行者からの組織検証済み（OV）証明書を使用したTLS（証明書内の組織名）
- 既知のEV発行者からの拡張検証証明書付きのTLS（証明書内の組織名とアドレス）
商用CAから購入する証明書は3、4、または5になります。ほとんどのWebブラウザーは、2を除くすべてを許可します。一般的に表現される理論的根拠は、https:不明なCAを持つURIは、特に真ん中の男に対して、誤った安心感を与えますが、http: URIは本当の不安感を与えます。
しかし、DVはComodo Dragonユーザーを怖がらせるかもしれません
しかし、少数のユーザーが3でも警告するWebブラウザーを使用しています。 Comodo DragonのユーザーがDV証明書を使用するHTTPSサイトにアクセスすると、 異なるロックアイコン が表示され、「混合パッシブコンテンツ」アイコンのような警告三角形が表示されます。また、サイトを表示する前に interstitial warning screen を表示します。この警告は、ブラウザが自己署名証明書に対して表示するものに似ており、そのテキストは次のように始まります。
このサイトとの情報交換は安全ではないかもしれません
このWebサイトのセキュリティ（またはSSL）証明書は、そのWebサイトを運営している組織が、正当な事業であるという信頼できるサードパーティの検証を受けていない可能性があることを示しています。
これは、ドメインを登録する攻撃者を阻止することを目的としていますbankofamerrica.example「Banko Famer Rica」の場合は、コスタリカに関する合法的なコンテンツを色付けし、そのドメインのDV証明書を取得して、バンクオブアメリカになりすますサイトに変更します。また、ドメインを侵害する攻撃者を阻止し、攻撃者が制御するサブドメインを追加し、そのサブドメインのDV証明書を取得することも目的としています。 このようなケースの1つ は、無料のDV CA Let's Encryptが稼働した後、2015年12月に発生しました。しかし、このメッセージ / Facebookでも表示されることがわかっています 。
Dragonのユーザーを怖がらせないために、DV証明書を回避する必要があります。ただし、EV証明書を購入する必要はありません。すべての主要なブラウザーにルート証明書が含まれるOV証明書を組織に販売してもよいCAのリストを作成するだけです。そうすれば、最も安いものを購入しないという技術的なセキュリティ上の理由はありません。
個人としてブログを運営している場合は、どのCAからのOV証明書も取得できません。この場合、Dragonで警告を表示するだけで十分です。StartSSL、WoSign、Let's Encryptが提供するような安価なDV証明書を使用できます。
テクノロジは256ビット暗号化と同じですが、次の要素にも料金がかかります。
検証のレベル-これは、会社またはWebサイトを検証するために発行者が行うチェックの量です
ドメイン数-この証明書が有効になるドメインの数
信頼レベル-上記のメンバーと同様に、さまざまなタイプの検証に料金を支払うことができ、ユーザーからの「信頼」が高くなるため、価格の違いが生じます