Metodi di convalida SSL: non tutte le CA sono uguali

Momento della lettura: 2 verbale

Quando si ottiene un certificato SSL, l'Autorità di certificazione (CA) esegue una verifica dell'identità dell'organizzazione richiedente che varierà a seconda del livello di autenticazione richiesto dal tipo di certificato. Sebbene le CA offrano gli stessi livelli di autenticazione, c'è una differenza nelle loro metodologie di convalida.

Quali sono le principali differenze nella convalida da parte dei provider SSL?

La convalida può essere eseguita in due modi: manualmente o automaticamente.

Tradizionalmente la convalida manuale (come quella usata da VeriSign, Thawte, Entrust) è stata macchinosa, prolissa e costosa per il provider SSL e quindi per l'acquirente. La convalida automatizzata (come quella utilizzata da GeoTrust e GoDaddy) è più rapida ed economica, ma non fornisce il livello di sicurezza atteso dai consumatori che si affidano a SSL: ad esempio, i certificati Quick SSL di GeoTrust convalidano solo il diritto del richiedente di utilizzare un nome di dominio e non la legittimità della società stessa.

Comodo, utilizzando IdAuthority, ha innovato il metodo per condurre la convalida High Assurance (sia la proprietà del nome di dominio che la legittimità dell'azienda) risultando in fornitori di certificati SSL di altissima sicurezza. Ciò garantisce un rapido processo di emissione senza compromettere il livello di garanzia del certificato SSL.

La validazione forte è davvero importante?

La convalida è essenziale!
Fornisce l'infrastruttura di fiducia sottostante a cui i consumatori hanno iniziato a rispondere. In primo luogo, si deve ritenere che il richiedente abbia un diritto legittimo all'utilizzo di un nome di dominio e, in secondo luogo, il richiedente deve essere un'entità legittimamente responsabile. Tutti i provider High Assurance eseguiranno un processo di convalida in due fasi, mentre i provider Low Assurance come GeoTrust e GoDaddy eseguiranno solo un controllo della proprietà del nome di dominio.

La mancanza di convalida eseguita da alcuni provider SSL ha causato preoccupazione in tutto il settore, tanto che Opera con il rilascio di 8 e Microsoft con Internet Explorer 7 offrono entrambi ai consumatori la possibilità di visualizzare dettagli avanzati sul certificato. Come sintetizzato nel rapporto di Gartner "Secure Sockets Layer a volte non è", i fornitori di bassa affidabilità potrebbero essere responsabili della mancanza di fiducia in SSL dai consumatori. Poiché i consumatori apprendono da fonti di alto profilo che i certificati SSL di GeoTrust e GoDaddy non significano necessariamente che hanno a che fare con un'entità legale verificata, la fiducia nei certificati GeoTrust sarà ridotta. I siti che acquistano da GeoTrust e GoDaddy potrebbero potenzialmente trovare il loro SSL I certificati non forniscono ai clienti il ​​livello di fiducia che si aspettano e richiedono.

INIZIA LA PROVA GRATUITA OTTIENI IL TUO SCORECARD DI SICUREZZA ISTANTANEO GRATUITAMENTE