0

Объясните пожалуйста про удостоверяющие SSL-сертификаты. Сколько не читал так и не смог понять механизма их работы.

Как я понимаю SSL-Сертификаты ввели, как противодействие перехвата публичных ключей в асимметричном шифровании, подмену этих ключей и как итог расшифровка, просушка и изменение зашифрованого трафика между Клиентом и Сервером.

Поэтому прежде, чем обменяться публичными ключами, Сервер на GET-запрос Клиента сначала посылает ему удостоверяющий Сертификат.

И тут все, я ничего не понимаю.

-Что из себя представляет этот сертификат?

-как тут задействуется Удостоверяющий центр и его цифровая подпись ?

-Почему нельзя перехватить сертификат и подсунуть свой ? итд...

7
  • «противодействие перехвата публичных ключей в асимметричном шифровании» — это чушь. SSL и есть асимметричное шифрование.
    – Alexey Ten
    16 дек 2022 в 18:20
  • @Alexey Ten, а чушь то в чем ?
    – Optimus1
    16 дек 2022 в 18:39
  • В том что в перехвате публичных ключей нет никакого смысла. Они публичные
    – Alexey Ten
    16 дек 2022 в 18:40
  • @Alexey Ten, хммм, ну тогда может ответите на вопрос: Зачем придумали Сертификаты то ? Заем они нужны, если трафик зашифрован.
    – Optimus1
    16 дек 2022 в 18:43
  • Так трафик безопасно зашифрован именно с их помощью.
    – Alexey Ten
    16 дек 2022 в 18:45

2 ответа 2

2

Если не вдаваться в сложную математику, и совсем на пальцах:

  1. В вашей операционной системе (и/или в браузере) уже есть много сертификатов корневых УЦ, которые установлены изначально.
  2. Когда браузер соединяется с сайтом по https, сайт первым делом отдаёт свой сертификат подписанный одним из корневых УЦ (возможно не напрямую, а через цепочку подписей).
  3. Браузер (про помощи сложной математики) проверяет что подпись (подписи) настоящие и что сертификат подходит к домену который он запрашивал.
  4. Далее (про помощи другой сложной математики) браузер и сервер договариваются о сессионном ключ шифрования
  5. и вся дальнейшая переписка между ними шифруется этим ключом.

Что из себя представляет этот сертификат?

Файл в котором описан срок действия сертификата, для каких доменов он подходит и публичный ключ от асимметричного шифрования. Это файл подписан УЦ и именно эту подпись проверяет браузер на шаге 3.

как тут задействуется Удостоверяющий центр и его цифровая подпись?

Владелец сервера заранее подписывает свой файл в УЦ. УЦ проверяет что домен(-ы) в сертификате действительно принадлежат владельцу сервиса. Сертификаты корневых УЦ уже есть у вашего браузера.

Почему нельзя перехватить сертификат и подсунуть свой?

Можно. Но перехватывающий в общем случае не сможет подсунуть свой сертификат для нужного домена с действительной подписью. Именно из-за этой угрозы все очень скептически смотрят на российские корневые сертификаты, т.к. опасаются что государственный УЦ «забудет» проверить что ООО «Рога и копыта» владеют доменом google.com.

2
  • Спасибо, а что из себя представляет Подпись УЦ, что ее не сможет подделать злоумышленник ?
    – Optimus1
    16 дек 2022 в 18:49
  • Обычная электронная подпись ru.wikipedia.org/wiki/…
    – Alexey Ten
    16 дек 2022 в 18:58
0

Сертификат служит для проверки что запрошенный сайт является подлинным, а не кто-то им притворяется. Проверив его подпись по центру сертификации браузер решает доверять ли ему.

В сертификате есть открытый ключ который служит шифрования общего ключа (pre master key) при 4х стороннем обмене ключами шифрования.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.