Metody walidacji SSL: nie wszystkie urzędy certyfikacji są takie same

Czas czytania: 2 minuty

Podczas uzyskiwania certyfikatu SSL urząd certyfikacji (CA) przeprowadza weryfikację tożsamości organizacji wnioskującej, która będzie się różnić w zależności od poziomu uwierzytelnienia wymaganego przez dany typ certyfikatu. Chociaż CA oferują te same poziomy uwierzytelniania, istnieje różnica w ich metodologiach walidacji.

Jakie są główne różnice w walidacji przez dostawców SSL?

Walidację można przeprowadzić na dwa sposoby: ręcznie lub automatycznie.

Tradycyjnie ręczne sprawdzanie poprawności (stosowane przez VeriSign, Thawte, Entrust) było kłopotliwe, długotrwałe i kosztowne dla dostawcy SSL, a tym samym dla kupującego. Zautomatyzowana walidacja (stosowana przez GeoTrust i GoDaddy) jest szybsza i bardziej opłacalna, ale nie zapewnia poziomu bezpieczeństwa oczekiwanego przez konsumentów korzystających z SSL - na przykład certyfikaty Quick SSL firmy GeoTrust potwierdzają jedynie prawo wnioskodawcy do korzystania z nazwy domeny i a nie legalność samej firmy.

Comodo, korzystając z IdAuthority, wprowadziło innowacje w metodzie przeprowadzania walidacji High Assurance (zarówno własność nazwy domeny, jak i legitymacja firmy), co zaowocowało dostawcami certyfikatów SSL o dużej wiarygodności. Zapewnia to szybki proces wydawania bez obniżania poziomu bezpieczeństwa certyfikatu SSL.

Czy silna walidacja naprawdę ma znaczenie?

Walidacja jest niezbędna!
Zapewnia podstawową infrastrukturę zaufania, na którą konsumenci zaczęli odpowiadać. Po pierwsze, należy uznać, że zgłaszający ma uzasadnione prawo do używania nazwy domeny, a po drugie musi być prawnie odpowiedzialnym podmiotem. Wszyscy dostawcy High Assurance przeprowadzą dwuetapowy proces weryfikacji, przy czym dostawcy Low Assurance, tacy jak GeoTrust i GoDaddy, sprawdzą tylko własność nazwy domeny.

Brak walidacji przeprowadzanej przez niektórych dostawców SSL wzbudził obawy w całej branży, tak że Opera z wydaniem 8 i Microsoft z Internet Explorer 7, obie oferujące konsumentom możliwość przeglądania rozszerzonych szczegółów o certyfikacie. Jak podsumowano w raporcie Gartnera „Secure Sockets Layer czasami nie jest”, dostawcy o niskim poziomie pewności mogą być odpowiedzialni za brak zaufania do SSL przez konsumentów. Ponieważ konsumenci dowiadują się z głośnych źródeł, że certyfikaty SSL od GeoTrust i GoDaddy niekoniecznie oznaczają, że mają do czynienia ze zweryfikowanym podmiotem prawnym, zaufanie do certyfikatów GeoTrust zostanie zmniejszone. Witryny kupujące od GeoTrust i GoDaddy mogą potencjalnie znaleźć swoje SSL Certyfikaty nie zapewniają klientom zaufania, jakiego oczekują i wymagają.

ROZPOCZNIJ DARMOWY OKRES PRÓBNY ODBIERZ SWOJĄ NATYCHMIASTOWĄ KARTĘ BEZPIECZEŃSTWA ZA DARMO