최근 Google 인프라 팀에서 개발 팀에 https 용 인증서가 필요하지 않다고 말했습니다. 그들은 인증서를 구매할 때 얻을 수있는 유일한 이점은 올바른 웹 사이트에 연결하고 있다는 것을 소비자에게 안심시키는 것입니다.
이것은 https에 대해 가정 한 모든 것에 위배됩니다.
Wikipedia를 읽고 https를 구성하려면 신뢰할 수있는 인증서 또는 자체 서명 인증서가 필요하다고 언급합니다.
이 구성없이 HTTPS에 대응하기 위해 IIS 할 수 있는 인증서?
7
이것은 단지 통신 문제 일 수 있습니다. 서버에 자체 서명 된 인증서가 준비되어있을 것입니다. : 덧붙여, 당신이 공개 인증서 신뢰 사용하여 방지이 경고의 m86security.com/kb/article.aspx?id=13446 사용자 환경에 허용 할 수도 있고하지 않을 수 있습니다. 나는 그것이 단순한 마음의 평화 이상이라고 말하고 싶습니다-공개 웹 사이트에서 그것은 전문성의 표시입니다!
—
Dan
자체 서명 인증서는 암호화를 제공하지만 중간 공격에서 사람을 보호 할 수는 없습니다. 트래픽을 가로 채서 해독하는 사람에 대해 자체 서명 한 인증서에 대해 유효하지 않거나 확인되지 않은 인증서에 대해 동일한 경고가 표시되므로, 데이터를 훔치고 다시 암호화하여 클라이언트로 돌아갑니다.
—
바트 실버 스트림
"자체 서명 된 인증서는 암호화를 제공하지만 사용자가 대역 외 메커니즘에 의해 명시 적으로 자체 서명 된 인증서를 신뢰할 수있는 경우가 아니면 중간 공격 [...]에서 사람으로부터 보호 할 수 없습니다. 이러한 대역 외 메커니즘을 통해 사용자를 아는 소규모 사용자에게는 현실적으로 만 가능합니다. 실제로는 그렇지 않습니다.
—
Bruno
또는 처음으로 신뢰하면 향후 변경 될 경우 경고를받습니다. SSH 서명과 마찬가지로 실제로.
—
mfinni
기술적으로 SSL / TLS에는 통신 채널을 보호하기 위해 인증서가 필요 하지 않습니다 . 실제로 SSL / TLS는 pgp 인증서, 사용자 이름 / 암호, 사전 공유 키 또는 "익명"(인증 없음)과 같은 다른 메커니즘을 사용하여 채널을 보호 할 수 있습니다. 마찬가지로 SSL / TLS는 암호화를 보장하지 않으며 "널 (null)"(암호화 없음)을 포함하여 사용할 수있는 여러 가지 사이퍼가 있습니다. 다이제스트 인증에는 비슷한 옵션이 있습니다. 그래서 그것은 훌륭하지만 프로그램이 그것을 사용하는 것 : 기본적으로 전혀 없음, 확실히 주요 서버 또는 브라우저 소프트웨어 없음 (모두 인증서 필요).
—
Chris S