А зачем вообще покупать SSL-сертификат для сайта у GlobalSign/Comodo/etc, если можно подписать самому?

Question

[rouuor]

Не сочтите за троллинг. У меня реально такой подход к жизни. Экономика должна быть экономной. Каждой цели - свои средства.
До абсурда тоже нельзя доводить, и иногда все-таки брать сразу с запасом, есть даже такой подход - "из крайности в крайность" - и к некоторым задачам он эффективен, чтобы сразу оценить перспективы.
Но всегда надо понимать, за что ты платишь.

Вот если у меня цель - просто шифрование трафика для защиты от отладки с помощью Wireshark, ни о каком SEO, доверии, банкинге и т.д. речи не идет, это внутренний сервер, клиентом для него будет мой собственный браузер (на базе WebKit). Или вообще система будет работать по TCP.

Вот в таком случае достаточно ли самоподписанного? Или покупной сертификат будет иметь какие-то реальные плюсы?

А в каком случае он будет их иметь?

Comments

[automatik]

Хреновая у тебя экономика. Во-первых, самоподписанный сертификат нужно добавлять в браузер вручную, то есть толку от него ноль, только для собственных нужд.
Во-вторых, есть бесплатные сертификаты от того же letsencrypt, которые добавлены во все браузеры.

[rouuor]

automatik:

самоподписанный сертификат нужно добавлять в браузер вручную

Это во всех браузерах так? А в Internet Explorer? А если WebView?
Вообще, если не добавить сертификат - браузер принципиально не сможет работать с сайтом (так как просто не расшифрует содержимое), или это не так?
А что насчет TCP?

Во-вторых, есть бесплатные сертификаты от того же letsencrypt, которые добавлены во все браузеры.

Спасибо. Об этом не знал. Но почему тогда на топовых хостингах сертификаты тоже топовые от GlobalSign и т.д.? Ведь, возвращаясь к экономике, хостингам было бы выгоднее брать бесплатный сертификат, и реализовывать клиентам по цене топового, и люди бы покупали, если он ничем не хуже.
Может, все-таки у letsencrypt есть кое-какие недостатки?

[automatik]

rouuor: из ограничений у него только поддержка Domain Validation, да и его нужно регулярно продлевать (но это можно делать и автоматически).

Answer 1

[Роман Франк]

Вам подойдет https://letsencrypt.org/

Comments

[rouuor]

Спасибо. Об этом не знал. Но почему тогда на топовых хостингах сертификаты тоже топовые от GlobalSign и т.д.? Ведь хостингам было бы выгоднее не покупать у GlobalSign, а брать бесплатный сертификат, а клиентам продавать по той же цене, и люди бы покупали, если он ничем не хуже.
Может, все-таки у letsencrypt есть кое-какие недостатки?

[Роман Франк]

rouuor: конечно есть, его придется обновлять каждые 3 месяца. Нет поддержки wildcard.

Были еще startssl – но возникли проблемы безопасности в браузерах (chrome, firefox), для себя тоже можно использовать.

Answer 2

[Сергей]

давай разберемся на простом примере. вот идешь ты в другом городе в гостиницу. а тебе говорят дайте паспорт! почему паспорт? потому что тот кто его выпустил является гарантом что ты тот кто есть. а тот кто паспорт спрашивает доверяет гаранту.

другой пример. ты занимаешь под честное слово у соседа. сосед тебя знает и тебе доверяет. теперь ты выступаешь для себя гарантом!

поэтому вопрос не в гаранте. а в том кто кому доверяет )

Comments

[rouuor]

Это я понимаю, но ты еще раз перечитай вопрос - мне не нужно доверие, мне просто шифрование нужно.

[Сергей]

rouuor: ну так выпусти его сам ). и не парься. я про это и написал

Answer 3

[athacker]

Если сертификат не подписан доверенными центрами, то браузеры будут ругаться, что "а сертификат-то паленый!":


На шифровании это никак не сказывается. Если соединением будешь пользоваться только "сам и мои друзья", которым можно объяснить, что "тыкайте "разрешить", и всё будет ровно", то можно пользоваться самоподписанными сертификатами.

Если же это публичный сервис, то клиентов такие сообщения про недостоверный сертификат будут отпугивать. Тогда имеет смысл купить сертификат, подписанный приличным УЦ.

Let's encrypt я бы из принципа использовать не стал (собственно, я и не стал :-) ), даже для домашнего сайта с котиками. Очень сомнительная модель, когда нужно ставить некий "клиент", который тебе генерит и обновляет сертификаты. Нет гарантии, что он твой секретный ключ при этом товарищу майору за бугор не отправляет. А то может и ещё что, смотря до чего дотянуться сможет.

Comments

[rouuor]

По поводу последнего абзаца - а нельзя ли его ставить на другой VPS? Я его (certbot) все равно не смогу поставить на основной, потому что винда. Придется на другом, там макось.
А насчет шпионства - возможно исследование, реверс-инжиниринг этого клиента... чтобы убедиться, что ничего левого в нем нет, а потом и вовсе набросать свою утилку. Если сам Letsencrypt в качестве УЦ - нормален, то почему бы и не заморочиться.

[athacker]

rouuor: Вы отреверсите одну версию, а потом придёт апдейт, где "minor bugfixes", и там уже нужный функционал. Или такой апдейт придёт не всем, а только "нужным людям". В общем, я бы не стал.

В letsencrypt'е есть возможность получения сертификата с помощью заранее сгенерированного CSR. Вот если этот certbot запускать на отдельной изолированной машине, подпихивая только CSR-ки -- в таком варианте, с должной осмотрительностью, letsencrypt юзать можно. Но кто будет этим заниматься? :-)

Answer 4

[CityCat4]

Покупается не сертификат. Покупается подтверждение от имени некоей конторы, которая всем известна и которой все доверяют того факта, что держатель сертификата на самом деле то лицо (организация), которой представляется. Это на самом деле большая ответственность - за косяки бывает СA лишают доверия - чего стоит история с пинком под зад для StartSSL/WOSign
Выпустить самому себе сертификат никто не мешает - более того так поступают очень часто, когда его публичность никому не нужна - например веб-морда iLO, упса, девайса какого-нибудь для работы https генерит "хоть какой-нибудь" сертификат - если хочешь меняй. Корпоративные СA выпускают сами себе сертификаты - и прекрасно живут.
Покупной сертификат дает подтверждение того факта, что лицо, обозначенное в сертификате есть то, за которое оно себя выдает. Гарантируется это авторитетом CA, которое их выдает. Вы можете взять бумажку и написать на ней "Пачпорт гражданина всея России" - но кто Вам поверит?
Доверие к разным CA не безусловное - к одним больше, к другим меньше - в отличие, например, от УФМС. Но УФМС одно, а СA много.

Answer 5

[Site Developer]

Вот в таком случае достаточно ли самоподписанного?

Если только для личного применения, то достаточно. Добавишь его в свой браузер.
Если для людей - не каждый рискнёт добавлять.
А вообще есть и бесплатные сертификаты.

Comments

[rouuor]

Спасибо. Об этом не знал. Но почему тогда на топовых хостингах сертификаты тоже топовые от GlobalSign и т.д.? Ведь хостингам было бы выгоднее не покупать у GlobalSign, а брать бесплатный сертификат, а клиентам продавать по той же цене, и люди бы покупали, если он ничем не хуже.
Может, все-таки у letsencrypt есть кое-какие недостатки?

[Site Developer]

rouuor:

тогда на топовых хостингах сертификаты тоже топовые от GlobalSign и т.д.?

Ну наверное для того, что бы доить лохов зарабатывать :) Хотя на многих НОРМАЛЬНЫХ хостингах letsencrypt предлагается в первую очередь.

Может, все-таки у letsencrypt есть кое-какие недостатки?

нет поддержки вилкард-доменов.
В остальном пофик для 99% сайтов. Впрочем, для 99% и на вилкад - пофик :)

Answer 6

[Max Kostikov]

Грубо говоря, если нет необходимости использовать данный сертификат в публичном пространстве, то можно использовать самоподписанный. В противном случае встаёт вопрос о доверии к такому сертификату у клиентов (им придётся вручную добавлять его в доверенные).
Этих недостатков лишён сертификат от Let's encrypt, которому доверяют весь современный софт, а выпуск его ничего не стоит. Получение и обновление при этом автоматизированно.

Comments

[rouuor]

Если с letsencrypt все так радужно, то почему тогда до сих пор в ходу Comodo, GlobalSign и т.д.? На всех хостингах - они. И зачем хостинг делит с ними выручку? Мог бы работать с letsencrypt - получил бесплатно, продал за деньги.

[Max Kostikov]

rouuor: Во-первых, потому что они делают расширенную валидацию. Во-вторых, они уже очень давно работают. В-третьих, это бизнес и на них делают деньги. И, в-четвёртых, "безопасность хорошо - паранойя плохо".

Answer 7

[Dimonchik]

смотри на уровни сертификатов
особенно на EV (extended validate)

летсэнкерипт говорит только о том, что сорединение к сайту зашифровано

уровни сертификатов подтверждают еще и от действительности владельца домена, до действительности настоящей конторы, получившей сертфиикат (см. Эппл, Микрософт, Тиньков)

Answer 8

[Sergey Ryzhkin]

Зеленая полоска в хроме на твоем сайте дает +500 понту, по сравнению с остальными сайтами ))

Comments

[Site Developer]

Открою тебе секрет, только ты никому, договорилсь? :)
О значении и понтх этой зелени знают только сеошники м вебмастреа (и то не все), а обычным людям на это пофик. 90% хомячков даже не подозревают об адресной строке ВООБЩЕ - они ещё не замечают и вводят слово "одноглазники" в поисковую (!) строку на старт. странице.
А те кто понимает - и понимает что это понты, не более.

А ещё второй секрет - мобильным юзерам, доля которых от 40 до 80% на среднестатистическом ресурсе, адресная строка вообще не показывается в нек. браузерах. Так что эти понты слишком специфичны и для очень узкого круга понтующихся... барабанная дробь... ЛАМЕРОВ :)

[rouuor]

И какое все это отношение имеет к вопросу? он не про понты, а про шифрование, имеющее вполне практическую цель

Answer 9

[Дмитрий Алёшин]

>шифрование трафика для защиты

Самоподписанные сертификаты: "шифрование трафика" - Да, "для защиты" - Нет.

Что мешает злоумышленнику выпустить такой же поддельный самоподписанный сертификат и использовать его для MITM-атак?

Самоподписанные сертификаты не несут в себе вообще никакой защиты. Если у Вас на сервере будет какая-либо брешь и злоумышленникам есть резон пытаться его ломать (можно срубить бабла на ценных данных и т.д.), они просто внедрят такой же самоподписанный сертификат, который пользователи примут без вопросов (потому что уже раньше принимали, они даже не задумаются, что в этом может скрываться какая-то опасность).

Answer 10

[Николай Корабельников]

В вашем случае самоподписанного сертификата достаточно. Отличия от сертификата, полученного у одного из доверенных центров сертификации только в доверии. То есть ОС, браузер и приложения ничего не знают об издателе сертификата и не доверяют ему по умолчанию. Если вручную не указать им, что этот сертификат доверенный, то вы будете видеть предупреждение об ошибке сертификата.
Если таких сайтов у вас несколько, то я бы рекомендовал сделать небольшой УЦ и подписывать им сертификаты для ваших сайтов. Тогда браузерам надо доверять только этому вашему УЦ, а не каждому сертифкату по отдельности

УЦ можно сделать на базе любого бесплатного PKI. Есть достаточно удобные и простые в установке и настройке.