In SSL / TLS, come viene verificata l'autenticità del certificato di un server?

Question

In SSL / TLS, come viene verificata l'autenticità del certificato di un server?

#1 da (3 voti)

0

Citazione da un articolo su computerworld.com :

"The private key is used to sign the server's TLS public key, which is currently used by browsers to validate SSL certificates."

La mia comprensione è che i certificati SSL vengono verificati utilizzando la chiave pubblica della firma CA o le chiavi pubbliche in una catena di trust, laddove necessario. Una volta verificato il certificato, puoi essere certo dell'autenticità della chiave pubblica del server che si trova nel certificato. La frase che ho citato sopra fa sembrare che la chiave pubblica TLS sia usata per verificare l'autenticità del certificato, il che non ha senso per me. Qualcuno può confermare che quello che ho detto è corretto, o spiegare perché quello che l'autore ha detto è corretto? Ho messo in evidenza la parte pertinente della citazione, dal momento che il resto riguarda TACK, un nuovo protocollo destinato a rafforzare i certificati TLS.

tls

posta KyleM 05.01.2013 - 00:15

fonte

1 risposta

Leggi altre domande sui tag tls

Sono stato colpito dal recente exploit Java? TLS è sicuro quando si verifica un'intercettazione completa sulla rete? [duplicare]

score 3 · Answer 1

L'articolo riguarda un'estensione chiamata TACK, che funziona più come SSH che un sistema CA tradizionale.

Con un sistema CA tradizionale la CA firma (con la chiave privata della CA) il certificato che contiene la chiave pubblica del server, quindi i browser utilizzano un archivio integrato di chiavi pubbliche di CA attendibili per verificarlo, con la possibilità di avere catene e CA intermedie ci sono oltre 600 organizzazioni all'ultimo conteggio (dati dell'Osservatorio SSL di EFF).

TACK funziona più come SSH dove ricordiamo la chiave pubblica dei server dalla prima connessione e verifica che corrisponda. Uno deve ancora fare una sorta di altra verifica sulla prima connessione, ma dopo di ciò si può verificare che la chiave è come previsto senza la necessità di un'autorità di certificazione. Anche un utilizzo automatico diffuso dovrebbe anche gestire l'invalidazione in caso di compromissione della chiave. In TACK per gestire questo, c'è una seconda coppia di chiavi che è quella ricordata dal server al posto di quella principale, questo consente un modo intelligente per gestire l'invalidazione.