Esistono svantaggi tecnici nell'utilizzo di certificati ssl gratuiti?

A livello di byte, X.509 è X.509 e non vi è alcun motivo per cui i certificati SSL gratuiti sarebbero migliori o peggiori di quelli non liberi - il prezzo non è scritto nel certificato. Qualsiasi fornitore di certificati può armeggiare la generazione del certificato, indipendentemente dal fatto che venga pagato o meno.

La parte difficile di un certificato è al di fuori di essa: è nelle procedure associate, ovvero in tutte le parti per gestire i certificati: in che modo il titolare della chiave è autenticato dalla CA, come la revoca può essere attivata e le informazioni corrispondenti vengono propagate, che tipo di garanzia legale è offerta dalla CA, i suoi livelli assicurativi, i suoi piani di continuità ...

Per l'acquirente del certificato, il grande valore in una particolare CA è dove la CA è riuscita a collocare la sua chiave di root (browser, sistemi operativi ...). I fornitori (Microsoft, Mozilla ...) tendono a richiedere un sacco di risorse amministrative e legali dalla CA prima di accettare di includere la chiave root CA nei loro prodotti, e tali cose non sono gratuite. Pertanto, una CA che può distribuire la chiave radice ma emette certificati gratuitamente ha un piano aziendale sospetto. Questo è il motivo per cui i rivenditori free-cert offrono anche certificati pagati con alcune caratteristiche extra (certificati che durano più a lungo, certificati con caratteri jolly, procedure di autenticazione extra ...): ad un certo punto, gli operatori CA devono avere un flusso di cassa in entrata. Ma alla fine, questo è il problema di CA, non il tuo. Se sono disposti a distribuire gratuitamente i certificati e , Microsoft è in grado di includere la chiave radice come "trusted by default key", quindi non c'è alcun problema per te nell'usare tali certificati.

Modifica: e ora c'è Let's Encrypt , che è una CA gratuita che è stata accettata dai principali browser. Il loro piano aziendale non è sospetto - in realtà, non hanno un piano aziendale. Operano come entità senza scopo di lucro e vivono di donazioni. La loro ha trovato una bella nicchia: hanno ottenuto il buy-in dai principali produttori di browser che sono andati in una crociata per uccidere il Web non HTTPS e avevano bisogno di un emittente di certificati gratuito per convincere gli amministratori di piccoli siti Web a passare; e ora, nessun venditore di browser può andarsene perché li farebbe sembrare soddisfatti per quanto riguarda la sicurezza.

Sto usando startssl per un certificato gratuito per circa un anno e mezzo ora con solo problemi molto piccoli [...] [rimosso la maggior parte dei post dal 2012 in quanto è irrilevante ora]

EDIT 2016 : non ci sono problemi tecnici che utilizzano un certificato da un certificato SSL gratuito, a condizione che l'autorità di certificazione sia considerata affidabile dagli utenti. Tieni presente che il tuo esempio StartSSL non è più considerato attendibile dalla maggior parte dei browser.

Gli utenti dei certificati gratuiti dovrebbero essere consapevoli che i certificati gratuiti sono necessariamente emessi in modo automatico che emetterà un certificato per un dominio una volta che puoi garantire che tu controlli quel dominio. Non forniscono la convalida in cui si è effettivamente un'organizzazione (convalida dell'organizzazione) o si eseguono verifiche e audit prolungati rispetto ai registri ufficiali (convalida estesa). Ciò significa che se qualcuno riesce a ottenere il controllo di un dominio con un nome simile, potrebbe ottenere certificati SSL validi per quel dominio con lo stesso nome. Ad esempio, qualcuno riesce a registrare america.com e ti inganna per andare a https://bank.of.america.com per i tuoi scopi bancari e poi fa un attacco man-in-the-middle con https://www.bankofamerica.com per poter accedere al tuo account.) Concesso , molti certificati pagati forniscono solo la convalida automatica del dominio. L'idea alla base dei certificati EV è che puoi visualizzare nella barra degli indirizzi il nome dell'organizzazione certificata CA esistente e proprietaria del dominio.

In genere, ciò significa che si desidera un'autorità di certificazione che la maggior parte dei principali browser e sistemi operativi si fidano implicitamente per impostazione predefinita. Uno dei primi fornitori di certificati gratuiti ( CAcert ) non ha mai ottenuto la fiducia predefinita nella maggior parte dei principali browser e sistemi operativi e, di conseguenza, i loro certificati sono meno utili, a meno che tu non sappia che gli utenti del tuo sito hanno installato e considerato attendibile il certificato radice CAcert. Il provider di certificati SSL entry level gratuiti nell'esempio (StartSSL), utilizzato per essere considerato attendibile dalla maggior parte dei principali browser e sistemi operativi. Tuttavia, la maggior parte dei browser principali sta rimuovendo il trust per StartSSL (non correlato al rilascio di certificati gratuiti - vedi sotto). Tuttavia, esiste un altro fornitore di certificati gratuiti che è considerato affidabile dai principali browser e sistemi operativi chiamati Let's Encrypt .

La ragione per cui StartSSL non è più affidabile è che StartCom (la società dietro StartSSL) ha venduto la propria CA a una società di CA cinese (WoSign) senza rivelare pubblicamente la vendita. Inoltre, hanno emesso un certificato per un dominio github senza autorizzazione e hanno iniziato a retrocedere i certificati di firma per evitare le restrizioni del browser. I principali fornitori di browser (inclusi Mozilla, Google, Apple) non hanno più iniziato a fidarsi dei certificati rilasciati da loro nei loro prodotti (tra cui Firefox, Chrome, Safari).

Per ulteriori informazioni:

link

link

link

Il principale svantaggio tecnico sarebbe che se una CA gratuita non è ampiamente accettata dai produttori di browser o di sistemi operativi, anche i certificati che generano potrebbero non essere considerati attendibili. Inoltre, se ci sono problemi con la CA che causano l'invalidamento del certificato di root, è possibile eseguire i problemi. Detto questo, potresti potenzialmente incontrare gli stessi problemi con qualsiasi CA e non è necessariamente un problema tecnico direttamente.

Non ci sono svantaggi tecnici nell'uso di certificati SSL gratuiti. La tecnologia e il protocollo SSL assicurano che l'handshake tra il client e il server generi chiavi di sessione robuste e sicure per contrastare lo spoofing di dati e attacchi man in the middle. Devi assicurarti che il tuo provider SSL gratuito fornisca lo stato del certificato in tempo reale utilizzando OCSP o CRL senza errori.

Se sei in grado di dire agli utenti finali di fidarsi del tuo certificato SSL con qualsiasi mezzo o mezzo, tutto dovrebbe andare bene.

Ora c'è un grosso svantaggio nell'uso di StartSSL: i principali browser non si fidano più dei loro certificati. La società e la sua casa madre non gestivano certificati e procedure in modo soddisfacente per Mozilla.

Firefox ha annunciato piani per diffidare dei certificati StartSSL nell'ottobre 2016: link

Google e Chrome diffidano dei certificati WoSign e StartCom . Chrome sta rimuovendo gradualmente la disassicurazione di questi certificati con le versioni successive del browser .

• Chrome 56 diffida da tutti i certificati emessi dopo il 21 ottobre 2016.
• Anche Chrome 57 diffide tutti i vecchi certificati, a meno che il sito non si trovi nell'alto milione di siti di Alexa.
• Chrome 58 diffida anche di tutti i vecchi certificati, a meno che il sito non si trovi nella top 500a di Alexa.

Safari blocca la fiducia per i certificati SSL gratuiti di WoSign CA: link

Fonte: il mio nuovo certificato StartSSL non ha funzionato: link