2

захотел клиент сертификат себе оформить. Отправляет запрос со своими данными в trusted certificate authority.

Как этот CA проверит, что клиент является тем кем представляется?

4
  • для ясности: речь не идёт о клиентских ssl сертификатах, а о процессе подтверждения обычного сертификата для сервера. К примеру domain validated сертификат от letsencrypt
    – jfs
    26 фев 2018 в 6:06
  • @jfs вообще это был общий вопрос - получение сертификата от доверенного центра пользователем и сервером. разве алгоритмы не будут одинаковыми для клиента и сервера!?
    – voipp
    26 фев 2018 в 7:41
  • слово "клиент" у вас означает: "владелец сайта/домена" (получили сертификат, чтобы ваш сервер мог посетителям вашего сайта отсылать сертификат и они могли быть уверены, кто-что послал. Большинство сайтов https поддерживают)¶ Слово "клиент" может (редко) означать "посетитель сайта" (установили сертификат в браузер и можете заходить на семейство сайтов, которые доверяют CA, выдавшей сертификат. Без паролей, явных учётных записей вас узнают. Узкая ниша, где это смысл имеет). Не означает "владелец сайта/домена".
    – jfs
    26 фев 2018 в 9:01
  • @jfs да, вы верно поняли слова "клиент" и "сервер". Тем не менее , вопрос был по сертификатам для клиента и сервера.
    – voipp
    26 фев 2018 в 18:03

2 ответа 2

4

Дополню по части Extended Validation.

Например, GeoTrust должен дозвониться до живого представителя конторы, которая хочет себе такой сертификат. Телефон конторы берется из "авторизованных источников" для конкретной страны. Это справочник, в котором будет прописано название конторы и ее телефон.

Во время разговора по телефону, сотрудник ГеоТраста может прислать на емэйл конторы (как правило они требуют адрес вида hostmaster@domain-name) письмо с временной ссылкой, пройдя по которой, вы вводите некий код, который параллельно вам по телефону произносят.

Именно по такой процедуре сам лично получал (получаю) сертификаты. Возможно есть другие варианты.

Что касается сертификатов "попроще", то там могут обойтись обычным письмом со ссылкой на адрес hostmaster@....

Итого. Процесс подтверждения принадлежности заказчика сертификата к конторе зависит от центра сертификации (каждый центр может придумать свои правила) и зависит от "ценности" сертификата.

Update

Шаги по выпуску SSL сертификата такие:

  1. Генерация CSR (certificate signing request) + приватный ключ.
  2. Выбор нужного SSL сертификата (тарифного плана): RapidSSL, Quick SSL, True Business ID, etc.
  3. Отсылка CSR файла в центр сертификации и оплата выпуска/подписи сертификата.
  4. Получение подписанного сертификата и прикручивание его в веб-серверу, smtp-серверу, маршрутизатору, утюгу...

Подробнее по пунктам.

Первым делом надо сгенерить запрос на подпись (CSR). Это можно сделать самостоятельно с помощью утилиты openssl, либо на сайте центра сертификации заполнить форму, которая сама сгенерит CSR.

CSR содержит в себе информацию о стране, городе, названии конторы и т.д.

Если у вас желание работать напрямую с центром сертификации, то надо следовать правилам выбранного центра (GeoTrust, Comodo, Thawte, etc). Моя контора, по разным причинам, не имеет права работать напрямую, поэтому приходится обращаться к посредникам (конторы, являющиеся резидентами моей страны). Как правило это конторы, которые занимаются хостингом и параллельно продают SSL сертификаты. У них есть некие партнерские программы с центрами сертификации, которые позволяют им принимать от клиента CSR и передавать на подпись. Оплата в этом случае идет посреднику.

После того как CSR готов, определяемся у кого, какой сертификат и на какой срок будем выпускать. От этого зависит его стоимость. ГеоТраст предлагает названия сертификатов, перечисленные во втором пункте. Это всего лишь маркетинговое название "тарифного плана". В других центрах сертификации аналогичные SSL сертификаты будут называться по другому (например, Positive EV SSL).

После того, как выбор "тарифного плана" сделан, CSR отправляется на подпись, и параллельно производится оплата.

После всех необходимых проверок и получения оплаты центр сертификации (CA) подписывает ваш CSR на определенный срок, после чего высылает полученный сертификат на ваш адрес. В частности, ГеоТраст присылает письмо, в котором содержится сам сертификат, сертификат уровня intermediate и ссылки на инструкции, как его прикрутить, например, к Апачу.

По сути, этот сертификат и является публичным ключом, который вы прикручиваете к веб-серверу.

Итого, после всех шагов мы имеем:

  • Подписанный сертификат
  • Приватный ключ (полученный на первом шаге)
  • Промежуточный сертификат от CA

Эти три файла прикручиваются к веб-серверу, после чего мы получаем то, что и хотели - шифрованный трафик между клиентом и сервером.

3
  • спасибо. действительно, простой и безопасный способ заведения сертификата
    – voipp
    26 фев 2018 в 7:47
  • а подскажите, ведь в сертификате должен быть открытый ключ вашего сервера. как вы геотрасту даёте свой ключ, что бы они его вместе с сертификатом подписали?
    – voipp
    2 мар 2018 в 21:47
  • 1
    @voipp добавил в апдейт
    – de_frag
    3 мар 2018 в 6:34
3

Сертификат выписывается на доменное имя (или набор имён). Соответственно, CA должен проверить, что запрос пришёл от владельца домена.

Обычно это проверяется с помощью DNS: CA просит создать проверочную DNS запись на домене, для которого запрашивается сертификат (обычно типа TXT с уникальным значением, полученным от CA). Когда ожидаемая DNS запись становится доступна, владелец домена считается подтверждённым.

3
  • Это для сертификатов уровня DV. Есть уровни и повыше. Не хотите дополнить ответ?
    – user181100
    26 фев 2018 в 5:45
  • а где можно почитать как происходит эта проверка с помощью DNS ?
    – voipp
    26 фев 2018 в 7:42
  • Никак. Уровни выше проверяются уже не только через DNS :) Дальше в ход идут документы. Понимаю, вы не в курсе. Это довольно нишевая тема.
    – user181100
    26 фев 2018 в 9:46

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.