Проверка организаций перед выдачей SSL сертификатов. Как, почему и зачем.

Часто задаются вопросы о том, можно ли доверять свои сайты сертификатам выпущенных САs, есть ли правила, которым следуют CAs в процессе аутентификации и какие этапы этого процесса проходят компании. В этой статье вы найдете ответы на эти вопросы, и не только.

Центр Сертификации (или CA англ. вариант) – это доверенная сторона, которая занимается выпуском сертификатов, а так же процессом аутентификации клиентов перед выдачей сертификата.

Ранее, общих правил, которые бы применялись центрами сертификации при проверке подлинности компании, перед выпуском SSL сертификата, никто не устанавливал и, как следствие, их не существовало. Центры Сертификации использовали свою концепцию проверки и подавали отчет о сделанной работе в CPS (Certification Practice Statement), правда, в общих чертах, что привело к размытому и неконкретному представлению о данном процессе. Нет конкретики – нет правил.

Со временем, Центры Сертификации все же разработали новые общие, более строгие требования к аутентификации, о которых мы поведаем вам ниже, а так же – почему  Extended Validation сертификаты могут получить не все желающие и выдача каких сертификатов занимает всего 10 минут.

Помимо аутентификационных, так же существуют технические требования к сертификатам. Обязательным является проверка csr-запроса на соответствие нужным параметрам – минимального криптографического алгоритма и размера ключа ( 2048 и больше bit ). Так же данные клиента и его компании должны пройти проверку по, так званому, “черному списку” – это список доменов и организаций, которые были замечены и замешаны в мошеннической деятельности, и при необходимости, ЦС может выполнить дополнительные шаги аутентификации. Центры Сертификации так же в обязательном порядке проверяют клиента по внутренний базе данных, – таким образом просматривается история заказов, отозванных сертификатов или отказов в сертификате по каким-либо причинах (к примеру, из-за фишинга или других мошеннических действий.) Так же ЦС должны удостовериться, что клиент не находится в списке лиц, организаций или стран, запрещенных правительством.

Такие основные базовые шаги проверки  являются главным преимуществом сертификатов, выпущенных центрами сертификации, что гарантируют безопасность.

Теперь о том, как проходит Authentication process с каждым типом сертификатов.

Domain Validation Certificates – SSL сертификаты с проверкой домена.

SSL сертификаты с проверкой домена подтверждают право владения доменным именем, на которое выдан сертификат.

Это сертификаты начального уровня, и одни из самых быстро-выпускаемых. Сертификати DV не содержат информацию о компании, поэтому для получения сертификата  Domain Validation SSL не требуется предоставление документов, что позволяет быстро получить сертификат – в течении 5 – 15 минут.

Такие сертификаты в основном рекомендуются для небольших сайтов или проектов, когда нет необходимости в большом доверии со стороны клиентов и посетителей сайта, проекта.

Подтверждение владение домена – это весь процесс аутентификации, и выглядит примерно так –  клиент от центра сертификации получает электронное письмо, в котором будет URL ссылка для подтверждения владением домена. При этом центр сертификации использует ограниченный список электронных почтовых адресов:

- либо любые адреса электронной почты, указаные в WhoIs для вашего домена,

- либо это один из пяти адресов – admin@, administrator@, hostmaster@, postmaster@, и webmaster@.

Organization Validation (OV) Certificates – SSL сертификаты с проверкой компании.

Это сертификаты уже бизнес-уровня. Они подтверждают достоверность адреса сайта, а так же информацию о компании или организации, которой принадлежит домен.

Веррификационный процесс сертификатов с проверкой компанией включает в себя подтверждение владение доменов , как и с сертификатами DV, а так же предоставление документов компании, организации.

Так же обязательным шагом является проверяющий звонок центром сертификации на корпоративный номер компании.

Существуют еще альтернативы проверки связи контактного лица с организацией, – отправка электронного письма или с помощью курьера на официальный адрес компании с кодом (паролем), который контактное лицо должен ввести на специальной странице заказа Центра Сертификации, или звонок в центральный офис ЦС для подтверждения личности контактного лица и его полномочий приобретать сертификат для конкретной организации или фирмы.

В итоге, пройдя все веррификационные шаги, вы получаете сертификат, который подтверждает как принадлежность конкретного веб-сайта к компании, так и существование компании как таковой, что поможет вам приобрести больше доверия посетителей и клиентов. Обычно это занимает от 1 до 3-х рабочих дней.

Extended Validation (EV) Certificates - SSL сертификаты с расширенной проверкой

Сертификаты с расширенной проверкой или сертификаты с “зеленой строкой” являются самыми престижными среди всех существующих сертификатов.

Строка браузера подсвечивается зеленым цветом, что говорит о высокой степени защиты сайта. Потому, Extended Validation Certificates – это идеальное решение для сайтов, связанных с финансами, интернет – услугами (интернет-банкинг, платежные системы, интернет-магазины и др.) с большим количеством посетителей. Сертификаты доступны только юридическим лицам.

Прежде чем получить EV SSL сертификат, вам потребуется пройти расширенную проверку. Она включает в себя проверку владением домена, а так же проверку регистрационных данных компании. Это достаточно трудоемкий процесс, поскольку аутентификация данных проходит более строго и тщательно, однако вы будете довольны результатом, ведь, пройдя все этапы проверки, вы вознаграждаетесь сертификатом EV, – гарантией качества и безопасности. Активация сертификата занимает около 10 дней.

Общие требования к сертификатам и требования доказательств права собственности или контроля домена – самые главные преимущества сертификатов, выпущенных центрами сертификации над самовыпущенными сертификами, которые не проходят никакую проверку и не могут гарантировать безопасность.

Комментарии запрещены.