Как достичь самых высоких гарантий SSL сертификатов

Сертификат Secure Sockets Layer (SSL) является продуктом транспортной технологии идентификации и шифрования данных информационного обмена между сервером и браузером в Интернете.

Для идентификации учасников информационного обмена с помощью SSL сертификата также используеться и третья сторона – сертификационный центр (СЦ). Изначально критических замечаний к функциональности сертификатов не было – они являются широкодоступными и подходят под стандарты инструментов безопасности для сайтов и IT операторов такой инфраструктуры. И, как утверждает Мейсон Махери, директор LAWtrust, сертификаты выданные сертификационным центром не обязательно должны быть функционально равны.

При выдаче сертификата, устанавливается взаимосвязь между компанией и сертификационным центром через ее регистрационную информацию и URL – что соответствует доменному имени компании.

Сертификат Extended Validation (EV) является открытым ключом сертификации X.509 который соответствует определенному набору критериев идентификации личности – что обеспечивает детальную проверку данных пользователя сертификационным центром, а также, более жесткие меры контроля обеспечивает международный сертификационный орган Browser Forum.

“Мотивацией для установки SSL было повышения уровня безопасности он-лайн операций, так как до получения SSL сертификата всем операторам сайтов необходимо было проходить проверку сертификационного центра. Тем не менее, коммерческое давление привело к введению сертификационными центрами “только доменной проверки” SSL сертификатов для которых осуществлялся минимальный контроль по деталях сертификата,” – комментирует Махерри.

“Большинство браузеров не точно определяют уровень безопасности сертификатов, так как при успешном SSL соединении появляется символ – замок, по которому пользователи определяют безопасность сайта. Как результат, таким образом мошенники, в том числе и фишинговых сайтов, начали использовать SSL для получения доверия и к своим вредоносным сайтам.

“То есть, выбор сертификационного центра выдачи SSL сертификатов должен быть очень тщательным,” утверждает Махерри. “К счастью, это не значит, что нужно сотрудничать только с зарубежными сертификационными центрами, ведь есть также и местные компании, такие как LAWtrust, которые могут выдавать EV сертификаты от имени общественно известных центров сертификации, например как Entrust. Также, основные версии различных браузеров признают EV сертификаты, после чего верхняя панель на сайте будет зеленого цвета, что указывает на безопасность работы с таким сайтом. Таким образом осуществляется визуальный индикатор доверия, что дает пользователям возможность легко определить высокий уровень обеспечения сайта. Это может быть особенно важно когда люди приходят на сайт и полагаются на надежность его информации, например, как JSE сайт.

“Кроме того, также следует иметь ввиду, что сертификаты SSL необходимы не только для связи сервера с браузером, они также необходимы для Outlook Webmail доступа, сетевого доступа VPN, и взаимной серверной проверки подлинности.”

“Во многих случаях, компании могут не контролировать дат истечения срока действия всех своих сертификатов, такие даты могут быть разными. Это подвергает организацию значительному потенциальному риску в бизнесе. Снова, ситуация должна быть исправлена соответствующим образом и управляться Certificate Management System, которая сможет предоставлять информацию о базе и порядке выдачи сертификатов, обновлять, контролировать и отслеживать SSL сертификаты. А также, состояние сертификатов можно контролировать с помощью обеспечения Certificate Discovery.” подытожил Махерри.

Комментарии запрещены.