da.phhsnews.com


da.phhsnews.com / Hvordan browsere verificerer webstedsidentiteter og beskytter imod imposter

Hvordan browsere verificerer webstedsidentiteter og beskytter imod imposter


Har du nogensinde bemærket, at din browser undertiden viser et websteds organisationsnavn på et krypteret websted? Dette er et tegn på, at hjemmesiden har et udvidet valideringscertifikat, der angiver, at websiteets identitet er blevet bekræftet.

EV-certifikater giver ingen yderligere krypteringsstyrke - i stedet viser et EV-certifikat, at omfattende verifikation af websteds identitet har fandt sted. Standard SSL-certifikater giver meget lidt verifikation af en websteds identitet.

Sådan viser browsere udvidede valideringscertifikater

På et krypteret websted, der ikke bruger et udvidet valideringscertifikat, siger Firefox, at hjemmesiden "drives af (ukendt) . "

Chrome viser ikke noget anderledes og siger, at webstedsidentiteten blev verificeret af den certificeringsmyndighed, der udstedte webstedets certifikat.

Når du har forbindelse til et websted, der bruger et udvidet valideringscertifikat, fortæller Firefox du drives af en bestemt organisation. Ifølge denne dialog har VeriSign verificeret, at vi er forbundet til den virkelige PayPal-hjemmeside, som drives af PayPal, Inc.

Når du er forbundet til et websted, der bruger et EV-certifikat i Chrome, vises organisationens navn i din adresselinje. Informationsdialogen fortæller os, at PayPal's identitet er blevet verificeret af VeriSign ved hjælp af et udvidet valideringscertifikat.

Problemet med SSL-certifikater

År siden har certificeringsmyndighederne brugt til at verificere en websteds identitet, før de udsteder et certifikat. Certificeringsmyndigheden vil kontrollere, at den virksomhed, der anmoder om certifikatet, blev registreret, ringe til telefonnummeret og kontrollere, at virksomheden var en legitim transaktion, der matchede hjemmesiden.

Til sidst begyndte certifikatmyndighederne at tilbyde "domæne-kun" certifikater. Disse var billigere, da det var mindre arbejde for certifikatmyndigheden at hurtigt kontrollere, at anmoderen ejede et bestemt domæne (website).

Phishers begyndte i sidste ende at udnytte dette. En phisher kunne registrere domænet paypall.com og købe et domæne-eneste certifikat. Når en bruger tilsluttet paypall.com, vil brugerens browser vise standard låsikonet, hvilket giver en falsk følelse af sikkerhed. Browsere viste ikke forskellen mellem et domæne-kun certifikat og et certifikat, der involverede mere omfattende verifikation af webstedets identitet.

Offentlig tillid til certificeringsmyndighederne til at verificere websteder er faldet - det er kun et eksempel på, at certifikatmyndigheder undlader at gøre deres due diligence. I 2011 fandt Electronic Frontier Foundation, at certifikatmyndighederne havde udstedt over 2000 certifikater for "localhost" - et navn, der altid refererer til din nuværende computer. (Kilde) I de forkerte hænder kan et sådant certifikat gøre man-i-midten-angreb lettere.

Hvordan udvidede valideringscertifikater er forskellige

Et EV-certifikat angiver, at en certifikatmyndighed har verificeret, at hjemmesiden køres af en bestemt organisation. For eksempel, hvis en phisher forsøgte at få et EV-certifikat til paypall.com, ville anmodningen blive afvist.

I modsætning til standard SSL-certifikater er det kun certifikatmyndigheder, der overgår en uafhængig revision, at udstede EV-certifikater. Certifikatudvalget / Browserforumet (CA / Browser Forum), en frivillig organisation af certificeringsmyndigheder og browserleverandører som Mozilla, Google, Apple og Microsoft udsteder strenge retningslinjer for, at alle certifikatmyndigheder, der udsteder udvidede valideringscertifikater, skal følge. Dette forhindrer ideelt set certificeringsmyndighederne i at deltage i et andet "race i bunden", hvor de bruger salvaksverifikationspraksis til at tilbyde billigere certifikater.

Kort sagt kræver retningslinjerne, at certifikatmyndighederne verificerer, at den organisation, der anmoder om attesten er officielt registreret, at den ejer det pågældende domæne, og at den person, der anmoder om certifikatet, handler på vegne af organisationen. Dette indebærer at kontrollere regeringsarkiver, kontakte domænerens ejer og kontakte organisationen for at kontrollere, at den person, der anmoder om certifikatet, arbejder for organisationen.

I modsætning hertil kan en domæne-kun certifikatbekræftelse kun indeholde et blik på domænet, som registrerer, at registranten bruger de samme oplysninger. Udstedelse af certifikater for domæner som "localhost" indebærer, at nogle certificeringsmyndigheder ikke engang gør så meget kontrol. EV-certifikater er grundlæggende et forsøg på at genoprette den offentlige tillid til certifikatmyndighederne og genoprette deres rolle som portvogtere mod imposters.


Tilføj en skjult gestus til din Mac, der viser alle Windows til ethvert program

Tilføj en skjult gestus til din Mac, der viser alle Windows til ethvert program

Ville det ikke være køligt, hvis du kunne rulle op på et dock-ikon for hurtigt at se alle dens vinduer sammen med seneste dokumenter? En enkelt kommando tilføjer denne ellers skjulte funktion til din dock. Vi har vist dig, hvordan du bruger din MacBooks pegefeltbevægelser, herunder den nedadgående trefingerspor, der viser, at alle vinduer er åbne med den aktuelle applikation.

(how-to)

Hvordan stopper du meddelelsen om beskyttelse af personlige oplysninger om Google fra konstant udseende?

Hvordan stopper du meddelelsen om beskyttelse af personlige oplysninger om Google fra konstant udseende?

Bliver underrettet om ændringer eller opdateringer af privatlivets indstillinger er til tider én ting, men når du gentagne gange bombarderes med samme nøjagtige Besked dag efter dag, uanset hvad du gør, så skal noget give. Dagens SuperUser Q & A-indlæg har nogle nyttige forslag til at hjælpe en meget frustreret læser slippe af med en irriterende påmindelsesmeddelelse.

(how-to)