SSL-valideringsmetoder: Ikke alle CA'er er ens

Læsetid: 2 minutter

Når der opnås et SSL-certifikat, udfører certifikatmyndigheden (CA) en verifikation af den anmodende organisations identitet, der vil variere afhængigt af det autentificeringsniveau, den type certifikat kræver. Mens CA'er tilbyder de samme niveauer af autentificering, er der forskel på deres valideringsmetoder.

Hvad er de vigtigste forskelle i validering af SSL-udbydere?

Validering kan udføres på en af ​​to måder: manuelt eller automatisk.

Traditionelt har manuel validering (som brugt af VeriSign, Thawte, Entrust) været besværlig, langvarig og dyr for SSL-udbyderen og derfor køberen. Automatiseret validering (som brugt af GeoTrust og GoDaddy) er hurtigere og mere omkostningseffektiv, men giver dog ikke den grad af sikkerhed, som forventes af forbrugere, der er afhængige af SSL – For eksempel validerer GeoTrusts Quick SSL-certifikater kun ansøgerens ret til at bruge et domænenavn og ikke virksomhedens egen legitimitet.

Comodo, ved at bruge IdAuthority, fornyede metoden til at udføre High Assurance-validering (både ejerskab af domænenavne og firmaets legitimitet), hvilket resulterede i en langt høj sikkerhed for SSL-certifikatudbydere. Dette sikrer en hurtig udstedelsesproces uden at kompromittere sikkerhedsniveauet for SSL-certifikatet.

Betyder stærk validering virkelig noget?

Validering er afgørende!
Det giver den underliggende tillidsinfrastruktur, som forbrugerne er begyndt at svare på. For det første skal ansøgeren anses for at have en legitim ret til at bruge et domænenavn, og for det andet skal ansøgeren være en legitim juridisk ansvarlig enhed. Alle High Assurance-udbydere vil udføre en totrins valideringsproces, hvor Low Assurance-udbydere som GeoTrust og GoDaddy kun udfører et domænenavnejerskabstjek.

Den manglende validering udført af nogle SSL-udbydere vakte bekymring i hele branchen, således at Opera med udgivelsen af ​​8 og Microsoft med Internet Explorer 7 begge tilbyder forbrugerne muligheden for at se forbedrede detaljer om certifikatet. Som opsummeret i Gartner-rapporten "Secure Sockets Layer er det nogle gange ikke" kan udbydere med lav sikkerhed være ansvarlige for den manglende tillid til SSL af forbrugerne. Da forbrugerne lærer fra højt profilerede kilder, at SSL-certifikater fra GeoTrust og GoDaddy ikke nødvendigvis betyder, at de har at gøre med en verificeret juridisk enhed, vil tilliden til GeoTrust-certifikater blive reduceret. Websteder, der køber fra GeoTrust og GoDaddy, kan muligvis finde deres SSL Certifikater giver ikke kunderne den grad af tillid, de forventer og kræver.

START GRATIS PRØVNING FÅ DIT ØJEBLIKKE SIKKERHEDSSCORECARD GRATIS