เหตุใดใบรับรองกุญแจสาธารณะของเว็บเซิร์ฟเวอร์จึงต้องลงนามโดยผู้ออกใบรับรอง

กล่าวอีกนัยหนึ่งความเสี่ยงด้านความปลอดภัยของการไม่ลงนามใบรับรองกุญแจสาธารณะโดยผู้ออกใบรับรอง (จากมุมมองของผู้ใช้) คืออะไร ฉันหมายถึงข้อมูลยังคงถูกเข้ารหัส ... คนที่อยู่ตรงกลางสามารถทำอะไรกับใบรับรองที่ไม่ได้ลงชื่อ?

จุดประสงค์ของ SSL เมื่อใช้กับ HTTP ไม่ได้เป็นเพียงการเข้ารหัสปริมาณการใช้งาน แต่ยังเพื่อตรวจสอบว่าใครเป็นเจ้าของเว็บไซต์และใครบางคนเต็มใจที่จะลงทุนเวลาและเงินเพื่อพิสูจน์ความถูกต้องและความเป็นเจ้าของโดเมนของพวกเขา

มันเหมือนกับการซื้อความสัมพันธ์ไม่ใช่แค่การเข้ารหัสและความสัมพันธ์นั้นเริ่มขึ้นหรือถือว่าเป็นระดับความไว้วางใจ

ที่กล่าวว่าฉันถามคำถามที่คล้ายกันไม่กี่เดือนที่ผ่านมาและคำตอบพื้นฐานที่กลับมาคือ "SSL เป็นบิตของการหลอกลวง"

ลองนึกภาพสถานการณ์ที่คุณต้องส่งมอบ $ 1,000,000 ให้กับบุคคลที่ชื่อ John Smith ที่คุณไม่เคยพบหรือสื่อสารด้วย คุณถูกบอกว่าคุณสามารถพบเขาในที่สาธารณะที่แออัด เมื่อคุณไปพบเขาคุณจะต้องมีวิธีที่จะทำให้แน่ใจว่าเขาเป็นคนที่คุณกำลังมองหาอยู่และไม่ใช่คนที่อ้างตัวว่าเป็น John Smith คุณอาจขอรหัสรัฐบาลบางนามบัตร คุณอาจถามคนที่คุณไว้วางใจที่ได้พบกับ John Smith เพื่อขอความช่วยเหลือในการระบุตัวเขา

ใบรับรองที่ลงนามเองระบุระบบโดยไม่ซ้ำกัน แต่ไม่ได้ทำอะไรเพื่อพิสูจน์ว่าระบบนั้นเป็นใคร ฉันสามารถลงนามใบรับรองด้วยตนเองได้อย่างง่ายดายและอ้างว่าเป็น serverfault.com, google.com หรือ yourbank.com ผู้ออกใบรับรองโดยทั่วไปจะทำหน้าที่เป็นบุคคลที่สามที่ลูกค้าเชื่อถือได้เพื่อยืนยันว่าใบรับรองนั้นใช้ได้จริงสำหรับชื่อที่ไซต์อ้างสิทธิ์ในตัวเอง

ธุรกิจ SSL นั้นเป็นการหลอกลวง ในความเป็นจริงแล้วเมื่อคุณจ่ายเงินประมาณ 20p ต่อไบต์สำหรับข้อมูลที่น่าสนใจบางประการ สิ่งที่คุณจ่ายไปนั้นสำหรับ CA ใดก็ตามที่คุณใช้ในการลงนามใบรับรองของคุณด้วยหนึ่งในกุญแจส่วนตัวของพวกเขาหลังจากพิสูจน์ตัวเองว่าคุณมีสิทธิ์ใช้ชื่อโดเมน / โฮสต์ที่ใบรับรองนั้นใช้ Farseeker กล่าวว่ามันเป็นความสัมพันธ์ที่เชื่อถือได้ - CA เชื่อใจคุณ (หลังจากที่พวกเขาตรวจคุณแล้ว) เว็บเบราว์เซอร์ของโลกที่เชื่อถือ CA (ปกติ) ดังนั้นเว็บเบราว์เซอร์ในโลกจะไว้วางใจใบรับรองของคุณ และอย่าให้ฉันเริ่มเกี่ยวกับ Extended Validation ...