所有SSL证书是否均等？

#1 楼

免责声明：此答案直接来自eHow文章。没有侵权意图。


域验证SSL证书

域验证的SSL证书用于建立与网站的基准信任级别并证明您正在访问您认为您正在访问的网站。这些证书是在SSL颁发者确认域有效并由请求证书的人所拥有之后颁发的。无需提交任何公司文件即可获取域验证SSL证书，并且可以非常快速地颁发这些类型的SSL证书。这些类型的证书的缺点是任何人都可以获取它们，并且除了确保您的Web浏览器和Web服务器之间的通信安全外，它们没有任何实际意义。

组织验证SSL证书

组织验证SSL证书已颁发给公司，并提供了比域验证SSL证书更高的安全级别。组织验证证书要求对某些公司信息以及域和所有者信息进行验证。与域验证证书相比，此证书的优点在于，它不仅可以加密数据，而且还可以对拥有网站的公司提供一定程度的信任。

扩展验证SSL证书

扩展验证SSL证书是“最重要的” SSL证书。要获得证书，需要公司进行繁重的审查程序，并且在颁发证书之前，必须先验证公司的所有详细信息为真实合法。尽管此证书看起来类似于组织验证SSL证书，但主要区别在于对域所有者和正在申请证书的公司执行的审核和验证级别。只有通过彻底调查的公司才能使用扩展验证SSL证书。这种类型的证书已为现代浏览器所识别，并通过浏览器URL部分中的彩色条表示。


此外，OV与EV在保险金额方面也有影响以防万一。 EV的保险费比OV高得多。

阅读更多/原创：Mickey Walburg，SSL证书的差异| eHow.com

#2 楼

客户的最终责任是检查证书的有效性。
作为服务提供商，除了对用户进行教育之外，您无能为力：
您无法控制用户的浏览器信任哪些证书，也不知道用户是否
已正确验证了他们使用SSL / TLS的安全并且没有忽略潜在的警告。

您需要尝试评估用户的反应方式并检查证书。
我假设您网站的目标受众不一定是技术或PKI专家。
您的用户如何做出反应将取决于他们对证书的了解。
不幸的是，关于此主题的信息很多，甚至是含糊不清的，甚至来自CA本身（请记住，CA都有使客户希望购买更昂贵的证书的既得利益）。

验证模式

（公钥）证书的一般用途是将身份绑定到公钥（因此使用SSL / TLS握手中的相应私钥将身份绑定到服务器）。
已经写了一个答案，详细说明了域验证证书，组织验证证书和扩展验证证书之间的区别。
您需要问自己的真正问题是您要向用户证明的内容。

这些类型的证书之间的区别在于身份本身是如何定义的。

经过域验证的证书可确保您已将证书颁发给该域的所有者。没有更多，但也不少（我假设验证过程在这里是正确的）。在许多情况下，这就足够了。这完全取决于您要推广的网站是否需要链接到已经众所周知的离线机构。当您也需要将域绑定到物理组织时，针对组织进行验证的证书（OV和EV证书）主要有用。例如，对于最初通过它的建筑物（例如美国银行）可以说，bankofamerica.com的证书确实是您已付了实物的地方。在这种情况下，使用OV或EV证书是有意义的。如果对于哪个机构在域名后面（例如apple.com和apple.co.uk）存在歧义，这也可能很有用，更重要的是，相似的域名由竞争对手/攻击者拥有，但出于不良目的使用名称相似性。 br />
相比之下，www.google.com是向公众定义Google的东西； Google无需证明google.com属于真实的Google。结果，它使用的是经过域验证的证书（与amazon.com相同）。

再次，如果用户知道如何检查此证书，这将非常有用。浏览器在这里并没有真正的帮助。如果您想在www.google.com上获得有关该证书的更多详细信息，Firefox只会说“由（未知）运行”，而没有真正说出这是什么意思。

扩展验证证书是一种尝试来改善此问题，通过使组织验证程序更严格，并使结果更可见：绿色条和更可见的组织。

不幸的是，我认为有时使用这种方式会增加混乱。这是一个示例，您可以自己检查：一家英国大型银行（NatWest）使用https://www.nwolb.com/来提供其在线银行服务。域名显然属于NatWest（顺便说一句，它也拥有更合乎逻辑的natwest.co.uk名称），这一点远非显而易见。更糟糕的是，对“苏格兰皇家银行集团（Royal Bank of Scotland Group plc）”进行了扩展验证（如果您选中绿色栏旁边的名称）：财务新闻，这是有道理的，因为RBS和NatWest都属于同一组，但是从技术上讲，RBS和NatWest是竞争对手（并且两者都在英国的大街上都有分支机构-尽管这将会改变）。如果您的用户不了解有关哪个组以哪个名称进行交易的额外知识，则应以潜在竞争对手的名称颁发证书。如果作为用户，您在gooooogle.com上看到了颁发给Microsoft或Yahoo的证书，但标有绿色，则不应将其视为Google的网站。

EV证书要牢记一点它们的配置已硬编码到浏览器中。这是一个编译类型的设置，以后无法配置（例如，与普通的受信任证书存储区不同，您可以在其中添加自己的机构CA证书）。从更愤世嫉俗的角度来看，有些人可能会认为这是主要参与者在市场上保持强势地位的便捷方法。

密封件您可以在网站上放置各种“印章”，通常根据所购买证书的类型使用不同的颜色。它们似乎是为了防止信誉较差的CA向错误的一方颁发有效证书而采取的额外步骤。

据我所知，从安全角度来看，这些完全没有用。确实，当您单击它以验证证书时（例如，如果单击GoDaddy的“已验证安全”徽标，则最终显示在此页面上），则没有任何信息表明您看到的证书与该证书相同已发送到seal.godaddy.com后面的服务。的确，如果您和example.com之间存在一个MITM攻击者，而另一个由草率CA颁发的example.com的有效证书，则该MITM攻击者将不在example.com和seal.godaddy.com之间。除非用户真的仔细查看证书，否则印章将无济于事（请记住，攻击者可以简单地删除印章链接或将其指向另一个CA中的一个）。 />保险

有些证书也附带某种保险。如果在交易过程中出了问题且金额有限，您将获得某种补偿。对我来说，尚不清楚申领这种保险的条件是什么。

选择哪种保险？

最终，大多数用户保留默认的保险清单。与操作系统或浏览器捆绑在一起的受信任CA证书。由于用户界面不能很清楚地区分CA，因此，用户看到的总体安全性（其职责是检查证书）将由每个类别中最低的公分母（蓝色和绿色条形）降低。

如果将域名绑定到“实体”组织很重要，则值得考虑使用EV证书。我个人认为UI区分DV和OV证书的方式不足以使显示蓝色框的组织名称有用。

如果您的域名最初是知名的（或者从用户的角度来看，该域完全是您的域，这毫无疑问），您可以申请任何蓝条证书。 （如果与您的网站相关，请检查保险详细信息。）

#3 楼

重要的一点是，SSL证书的（唯一）目的是验证与之通信的服务器的身份。
关于连接的加密和安全性的所有问题都在浏览器和服务器之间进行协商，而与证书。只要证书中嵌入的密钥足够大且不会受到破坏，免费证书与$ 2000证书一样，您的连接同样安全。
证书的价格反映（或至少应反映）金额审核发行公司的工作是为了验证您是否应该获得该证书。
编辑
证书是关于信任而不是安全的。这是一个微妙的区别，但很重要。只要我可以验证密钥，我就可以使用自签名证书完全安全。在那种情况下，即使在最小程度上，EV证书也绝对无法为我提供更多保护。但是其他人呢？我提前知道了信任哪个密钥，但是他们不知道。这是CA的角色。
所有受公共信任的CA都要求您在颁发证书之前验证域的所有权，因此从某种意义上说，2000美元的Verisign证书等于免费的Startcom证书。但这只是故事的一半。
还记得美国山区信用社的奇怪案例吗？攻击者能够冒充银行并获得Equifax的SSL证书，发行公司的官方印章，ChoicePoint指示器，以验证公司的位置（和合法性）-完全干净，合法且已正确发行。他们的秘密？银行使用域名macu.com，而这些攻击者使用域名mountain-america.net。当他们申请证书时，他们并没有说自己是银行（本来会发出危险信号的），而是建立了一个看起来完全无辜的网站。可能是远足靴或瓶装水之类的东西，或者是有关山区生活的博客。谁知道。但是，在颁发凭据后，他们将其更改为与Credit Union网站相同。
从理论上讲，这正是EV认证应防范的攻击。使用虚假身份或基于不存在的公司来获得EV证书应该更加困难。可能并非没有可能，但从理论上讲更加困难。因此，大概是事实，那就是欺诈，至少您有犯罪者的地址..或者您希望如此。
问题是，当您大规模出售信任时，很难保持自己的身份。产品干净。即便发生了所有审查和检查，您都可以召唤出类似Mountain Mountain惨案的违规行为，因为一旦颁发了证书，用户就可以更改其情况。
2000美元证书的最重要的安全功能可能就是价格本身。它说：“这个人为此证书支付了2000美元”。大概有人打算将其用于邪恶，反而会选择更便宜的替代品。这有点愚蠢，但也可能是正确的。

#4 楼

主要有3种SSL证书：


（1）域验证SSL证书


它的验证过程不太严格。
仅检查申请人的姓名和联系信息，并与注册时输入的数据进行核实。它具有非常敏感的数据。
它直接与域名绑定，因此可以向用户保证网站的真实性；但是，它不鼓励浏览器警告。

（2）扩展验证SSL证书


2007年推出，它是最早严格遵循的协议之一。行业准则。
认证申请和验证过程非常严格。
每个业务凭证都经过仔细，细致的验证。
对于使用此协议的站点，一种确保站点是否为是否受保护是要检查浏览器的导航窗口。如果站点是安全的，它将变为绿色，并在发生危险时变为红色。
它有助于保持较高的保证标准，并验证业务的真实性。

（3）组织验证SSL证书


检查申请人业务的合法性。
它遵循严格的验证程序，并实际上验证了业务的所有信息。
是处理极机密信息的在线业务的绝佳选择。



（来源：Buzzle）

#5 楼

这场辩论有两个方面。

第一，CA将确保您实际上是您声称的身份。

第二是更多CA支持的高级功能。

两者都很重要...一个CA将为您提供具有所有最新功能的证书，但不会检查您的ID是没有用的，就像可以很好地检查您的证书一样仅颁发具有5年前已过时功能的证书。