Общие сведения о типах сертификатов

платные доверенные сертификаты приобретение доверенных сертификатов, за исключением некоторых случаев – это платная услуга где и как купить в россии чаще всего услуга ssl сертификата предоставляется компаниями – хостингами веб ресурсов или организациями партнёрами международных удостоверяющих центрах есть возможность приобретения сертификатов непосредственно у удостоверяющих центров, но такие сертификаты обычно дороже, чем у партнёров, которые закупают их оптом процедура покупки ssl сертификата ничем не отличается от приобретения других интернет услуг общий порядок выберите поставщика и перейдите на страницу заказа ssl сертификатов выберите подходящий тип ssl сертификата и нажмите кнопку покупки введите имя вашего домена и выберите вариант защиты — на один домен или wildcard сертификат на группу поддоменов оплатите услугу любым удобным способом продолжите настройку услуги могут быть следующие параметры количество доменов, которые защищает сертификат один или более поддержка поддоменов скоростью выпуска быстрее всего выпускаются сертификаты с валидацией только домена, дольше всего выпускаются сертификаты с ev валидацией количество перевыпусков сертификата — у большинства удостоверяющих неограниченно требуется, если допустили ошибку в данных об организации гарантия – для некоторых сертификатов есть гарантия от 10 000 $ это гарантия скорее не для покупателя сертификата, а для посетителя сайта, где установлен сертификат в случае если посетитель сайта с таким сертификатом пострадает от фрода и потеряет деньги, удостоверяющий центр обязуется компенсировать украденные средства до суммы указанной в гарантии на практике такие случаи крайне редки бесплатный тестовый период – из платных сертификатов есть у сертификатов symantec secure site, geotrust rapidssl, comodo positive ssl, thawte ssl веб server также существуют бесплатные сертификаты возврат средств – почти у всех сертификатов в течении 30 дней, хотя бывают и сертификаты без периода примерная стоимость типы ssl сертификатов подразделяются по своим свойствам обычные ssl сертификаты данные сертификаты выпускаются мгновенно и подтверждают только одно доменное имя стоимость от 20$ в год sgc сертификаты сертификаты с поддержкой повышения уровня шифрования технология server gated cryptography позволяет в старых браузерах, которые поддерживали только 40 или 56 бит шифрование, повышать принудительно уровень шифрования до 128 бит технология решает проблему с криптографией, но не справляется с другими уязвимостями небезопасных браузеров, поэтому ряд корневых удостоверяющих центров отказываются от данной технологии стоимость от 300 $ в год wildcard сертификаты обеспечивают шифрование всех поддоменов одного домена по маске например, есть домен domain com и вам нужно установить такой же сертификат на support domain com, forum domain com и billing domain com, можно выпустить сертификат на domain com в зависимости от количества поддоменов, на которые требуется сертификат, бывает выгодней приобрести отдельно несколько обычных ssl сертификатов примеры wildcard сертификатов comodo positivessl multi domain wildcard и comodo multi domain wildcard ssl стоимость от 180$ в год san сертификаты технология subject alternative name позволяет использовать один сертификат на несколько разных доменов, размещённых на одном сервере такие сертификаты могут также называть ucc (англ unified communication certificate), mdc (англ multi domain certificate) или ec (англ exchange certificate) стандартно один san сертификат включает до 5 доменов, при этом их количество можно увеличивать за дополнительную плату стоимость от 395 $ в год сертификаты c поддержкой idn сертификаты с поддержкой национального домена (англ international domain name, такие как ru, cn, uk) не все сертификаты могут поддерживать работу idn следует уточнять данную возможность у удостоверяющего центра сертификаты, поддерживающие idn thawte ssl123 certificate; thawte ssl веб server; symantec secure site; thawte sgc supercerts; thawte ssl веб server wildcard; thawte ssl веб server with ev; symantec secure site pro; symantec secure site with ev; symantec secure site pro with ev как было сказано выше, партнёры удостоверяющих центров могут предоставлять значительные скидки на цену сертификата, такие предложения могут начинаться от 10 $ либо входить в состав пакетов услуг какие бывают сертификаты подразделяются по следующим уровням валидации dv domain validation, или сертификаты с проверкой домена удостоверяющий центр проверяет, что клиент, запрашивающий сертификат, контролирует домен, для которого требуется выпустить сертификат, с помощью сетевого сервиса проверки принадлежности веб ресурсов whois данный вид сертификата самый дешёвый и популярный, но не может считаться полностью безопасным, так как содержит только информацию о зарегистрированном доменном имени в поле cn (commonname – общее доменное имя веб ресурса) ov organization validation, или сертификаты с проверкой организации удостоверяющий центр проверяет принадлежность коммерческой, некоммерческой или государственной организации клиенту, который должен предоставить юридическую информацию при покупке данный вид сертификатов считается более надёжным, так как отвечает стандартам rfc и подтверждает ещё регистрационные данные компании владельца в полях o (organization – наименование организации); ou (organizationalunit – наименование подразделения организации); l (locality – наименование населённого пункта юридического адреса организации); s (stateorprovincename – наименование территориально административной единицы юридического адреса организации); c (countryname – наименование страны организации) ev extended validation, или сертификат с расширенной проверкой удостоверяющий центр проверяет те же данные, что и ov, но в соответствии с более строгими стандартами, установленными ca/browser forum ca/browser forum (англ certification authority browser forum) – это добровольный консорциум центров сертификации, разработчиков интернет браузеров и программного обеспечения для безопасной электронной почты, операционных систем и других приложений с поддержкой pki консорциум публикует отраслевые рекомендации, регулирующие выпуск сертификатов и управление ими данный вид сертификатов считается самым надёжным ранее в браузерах при использовании данных сертификатов изменялся цвет адресной строки и выводилось наименование организации широко используется веб ресурсами, которые проводят финансовые транзакции и требуют высокий уровень конфиденциальности однако многие сайты предпочитают перенаправлять пользователей для совершения платежей на внешние ресурсы, подтверждённые сертификатами с расширенной проверкой, при этом используя сертификаты ov, которых вполне хватает для защиты остальных данных пользователей как проходит процесс настройки (общие сведения, что такое csr) для инициации выпуска сертификата должен быть создан csr запрос технически csr запрос – это файл, который содержит в себе небольшой фрагмент зашифрованных данных о домене и компании, на который выдаётся сертификат также в этом файле хранится открытый ключ процедура генерации csr полностью зависит от программного обеспечения, используемого на вашем сервере, и чаще всего производится с помощью настройки в административной панели вашего хостинга если ваш хостинг не предоставляет такой возможности, то можно воспользоваться онлайн сервисами для генерации csr запроса либо специализированным по, например, openssl, gnutls, networ security services и т д после генерации csr будет сформирован и закрытый ключ для успешной генерации csr требуется ввести данные об организации, для которой заказывается сертификат информацию необходимо вводить в латинской раскладке достаточными являются следующие параметры country name — страна регистрации организации в двухбуквенном формате для российской федерации — ru; state or province name — область, регион регистрации организации для москвы — moscow; locality name — город регистрации организации для москвы — moscow; organization name — название организации для физических лиц указывается «private person»; common name — доменное имя, для которого заказывается сертификат; email address — адрес электронной почты для связи с администратором допустимые значения admin@имя домена; administrator@имя домена; hostmaster@имя домена; postmaster@имя домена; вебmaster@имя домена самоподписанные сертификаты самоподписанные сертификаты – это ssl сертификаты, созданные разработчиками сервиса самостоятельно пара ключей для них генерируется через специализированное по, например, openssl такой канал связи вполне получится использовать для внутренних целей между устройствами внутри своей сети или приложениями на этапе разработки let’s encrypt let’s encrypt – удостоверяющий центр, предоставляющий бесплатные криптографические сертификаты x 509 для шифрования передаваемых через интернет данных https и других протоколов, используемых серверами в интернете процесс выдачи сертификатов полностью автоматизирован сервис предоставляется публичной организацией internet security research group (isrg) проект let’s encrypt создан для перевода большей части интернет сайтов на https в отличие от коммерческих удостоверяющих центров, в данном проекте не требуется оплата, переконфигурация веб серверов, использование электронной почты и обработка просроченных сертификатов, что упрощает процессы установки и настройки tls шифрования например, на типичном веб сервере на базе linux требуется выполнить две команды, которые настроят https шифрование, получат и установят сертификат примерно за 20 30 секунд корневые сертификаты let’s encrypt установлены в качестве доверенных у основных производителей по, включая microsoft, google, apple, mozilla, oracle и blackberry центр сертификации let’s encrypt выдаёт сертификаты dv со сроком действия в 90 дней сертификаты с уровнем подтверждения ov и ev не планируются некоторое время назад реализована поддержка wildcard сертификатов ключ от корневого сертификата стандарта rsa с 2015 года хранится в аппаратном хранилище hsm (англ hardware security module), не подключённом к компьютерным сетям этим корневым сертификатом подписаны два промежуточных корневых сертификата, которые также были подписаны центром сертификации identrust один из промежуточных сертификатов используется для выпуска конечных сертификатов сайтов, второй держится в качестве резервного в хранилище, не подключённом к интернету, на случай компрометации первого сертификата поскольку корневой сертификат центра identrust предустановлен в большинстве операционных систем и браузеров в качестве доверенного корневого сертификата, выдаваемые проектом let’s encrypt сертификаты проходят проверку и принимаются клиентами, несмотря на отсутствие корневого сертификата isrg в списке доверенных для автоматической выдачи сертификата конечному сайту используется протокол аутентификации automated certificate management environment (acme) в этом протоколе к веб серверу, запросившему подписание сертификата, производится серия запросов для подтверждения факта владения доменом (dv) для получения запросов клиент acme настраивает специальный tls сервер, который опрашивается сервером acme с применением server name indication (domain validation using server name indication, dvsni) валидация проводится многократно, с использованием различных сетевых путей записи dns опрашиваются из множества географически распределённых мест для предотвращения атак dns spoofing, когда данные кэша доменных имён изменяются злоумышленником с целью возврата ложного ip адреса и переадресации посредника на ресурс злоумышленника (или любой другой ресурс в сети)