作者newversion (海纳百川天下归心)
看板Browsers
标题[问题] ssl凭证「身份认证」&「加密」何如要绑一起
时间Fri Sep 6 18:23:29 2013
最近帮客户 做网站， 为了省钱 ssl 凭证自己产生免钱的
我只是单纯想要做「加密」
但browser错误讯息，给外行人的感觉，好像 免费的 https:// 比 http:// 更可怕 QQ
某些版本的IE，有些 download 页面也一直跑不出，最後只好忍痛舍去ssl 改用 http://
省得三天两头又去烦恼某某档案不能下载罗。
等客户愿花钱买 ssl凭证， 再改用 https://
我觉得browser讯息提示，应该告诉 user ，该网站「身份」无法认证，
但传资料绝对比 http:// 安全， 不过这样 卖ssl凭证公司会少赚很多钱就是 QQ
--
※ 发信站: 批踢踢实业坊(ptt.cc)
◆ From: 140.112.251.86
1F：→ Alica:身分无法认证的加密没有任何意义 也没有安全可言 09/06 19:19
2F：→ Alica:你怎麽知道网站端是真的还是钓鱼网站.. 09/06 19:20
3F：→ Alica:不是封包不会被拦截解密就好 也要设想到主机被伪造的场合 09/06 19:21
4F：→ kdjf:ssl是"身份认证",不单只是加密这样 09/06 19:55
5F：→ kdjf:要加密的东西应该在client就做好罗 09/06 19:55
6F：→ kdjf:要不然真的传重要的东西又不想买cert, 就要求手动import cert 09/06 19:56
7F：→ newversion:很多学校的webmail也用免钱的ssl，用心酸的吗？ 09/06 20:15
8F：→ newversion:A,B互相信任对方， 传输过程只是单纯不想让C知道 09/06 20:15
9F：→ newversion:总比 plain-text 传强多了吧？ 09/06 20:16
10F：→ Alica:学校的话其实应该由moecc开个CA 各校就都有免钱凭证用 09/06 20:17
11F：→ Alica:moecc自己拿去给中华民国根凭证签就好 09/06 20:19
12F：→ Alica:但是moecc多一事不如少一事 所以就放到现在了.. 09/06 20:20
13F：→ ducksteven:学校就算了，商业网站特别是有鱼可钓的，最好还是上SSL 09/06 21:37
14F：→ ducksteven:cert不贵吧，我买过一年600+NTD的， *. 的比较贵就是了 09/06 21:38
15F：推 hirokofan:不用SSL，很多东西在传输时是明码，包括帐号密码.... 09/06 21:48
16F：推 sary:建议先去了解凭证, 加密 还有 HTTPS. 09/06 22:02
在LAN开个 sniffer 别人的 http, ftp, telnet 帐密全都看光光 !!
免钱的 ssl 至少还要先被破解，要钧鱼还需要花一点功夫。
※ 编辑: newversion 来自: 140.112.251.86 (09/06 22:17)
17F：→ Alica:我只能告诉你设计ssl的人一开始就设想到主机被伪造的场合 09/06 23:45
18F：→ Alica:用户端要怕被听帐密 自己不会上vpn/ipsec? 09/06 23:48
19F：→ Alica:业主愿意买凭证做安全当然很好 不愿意的话就别多事了.. 09/06 23:50
20F：→ Alica:你是改变不了浏览器的安全认证架构的 09/06 23:51
21F：→ ducksteven:之前有发生过中国的CNNIC伪造大网站的SSL证书… 09/07 00:18
我觉得 第一次用时，browser应该要引道 user 去 import 那个 cert ，并告诉user
如果下次 cert变了，请小心！ 而不是告诉 user，这个 https 有问题，不要用。
user只好选http，反而没有任何警告，user会觉得http好安全啊。
http一样有可能是钓鱼网站
http vs 不信任的https 两颗烂苹果里挑一颗，http没有比较好吧。
我今天ssh连到ptt ，第一次putty会给我warning ，我还不是用爽爽，
putty的warning说明就比较清础 user该怎麽选了，不像IE，用的关建字是
"欺骗您" "继续浏览此网站 (不建议)。"
我不会因为看到 warning而改用 telnet (putty,pcman不会告诉我这个很不安全)
※ 编辑: newversion 来自: 140.112.251.86 (09/07 01:06)
22F：→ Alica:IE还有选项按下去就继续浏览 Fx不设例外还不给连咧.. 09/07 01:35
23F：→ Alica:凭证会过期 所以用汇入的话可能会需要多次汇入 09/07 01:38
24F：→ Alica:这跟ssh装好後key没意外不会改变的情况不一样 09/07 01:39
25F：→ Alica:而如果要多次汇入 使用者就难分辨是时间到期还是被掉包了 09/07 01:42
26F：→ Alica:(所以一般都是汇入根凭证 某些学校有搞这个) 09/07 01:43
27F：→ Alica:但这种情况对你帮人做网站的又不适合.. 09/07 01:44