Сертификат HTTPS

Не совсем понятна необходимость сертификата для сайта, если так или иначе шифрованием данных занимается сервер хостера.
Не могу никак понять какую функциональность добавляет сам сертификат и как он это делает? Если хостер хочет просто снять какую-то с себя ответственность, то это ещё ясно. Но как допустим владелец сайта получивший сертификат может отвечать за всех пользователей размещающих там контент?

Но основная непонятка в том, что протокол обеспечивается непосредственно сервером хостера, и какую роль тут играет сертификат владельца сайта - не ясно вообще.

0

Тут коротко и не объяснишь. Протокол HTTPS требует, чтобы клиент (т.е. посетитель сайта) и сервер, на котором расположен сайт (т.е. сервер Вашего хостера) имели сертификаты, которыми они должны обменяться при установлении защищенного соединения. Тут Ваша логика работает. НО: смысл защищенного соединения не просто в том, чтобы применить шифрование. Нужно понимать, что шифрование требуется для того, чтобы расположенный где-то на пути соединения между клиентом и сервером злоумышленник не мог прочитать и/или изменить данные. Здесь просто шифрования уже недостаточно. Представим себе, что для соединения не требуется сертификат конкретного сайта. Тогда злоумышленник сможет ответить клиенту, что он на самом деле и есть сервер, на котором расположен Ваш сайт. При этом клиент будет отправлять данные злоумышленнику, а тот будет прикидываться клиентом и осуществлять взаимодействие с Вашим реальным сайтом. Говоря техническим языком, злоумышленник выступит в роли SSL/TLS терминатора. Очевидно, при этом злоумышленник сможет и читать все, что клиент посылает серверу и обратно, а также менять эти данные.

Именно для того, чтобы предотвратить такой сценарий протокол HTTPS осуществляет проверку подлинности сертификата. Если говорить упрощенно, то делается это следующим образом. Существует некоторое количество безусловно доверенных центров сертификации. Вы, как владелец сайта, должны (зачастую с помощью хостера) сгенерировать запрос сертификата и отправить его в такой центр. Центр проверит, что Вы действительно являетесь владельцем сайта, и при успешной проверки выдаст Вам сертификат на Ваш сайт со своей цифровой подписью. Ваш сертификат связан с создаваемым одновременно при создании запроса на получение сертификата приватным ключом. Этот ключ Вы (Ваш хостер) храните на сервере, на котором хостится Ваш сайт и соответствующим образом подключается в конфиге версервера. Без приватного ключа злоумышленник не сможет воспользоваться (присвоить себе) сертификат Вашего сайта. При установлении защищенного соединения с сервером клиент проверяет, что высланный сервером сертификат подписан одним из указанных выше (и известных всем стандартным браузерам) центров сертификации. Если цифровая подпись верна, то браузер клиента высылает на сервер данные, зашифрованные с использованием публичной части ключа, находящейся в теле сертификата. Без приватного ключа злоумышленник не сможет расшифровать запрос клиента и, соответственно, не сможет дать на него правильный ответ. Таким образом гарантируется, что клиент соединится только с нужным сервером.

Собственно, для того, чтобы злоумышленник не смог сам сгенерировать "липовый" сертификат сайта, здесь и требуется непосредственное участие владельца сайта. Центры сертификации поставят свою подпись только на сертификат, создатель которого сможет доказать, что он реально владеет сайтом. В данном случае, это - Вы.

Иногда хостер сам может все это сделать - в случае, если Вы регистрировали домен через этого хостера и используете его сервера доменных имен. В противном случае без Вашего участия не обойтись. Если подумать, в этом есть смысл. Представьте себе, что злоумышленник завладеет доступом к одному из хостеров (не обязательно Вашему). Что тогда помешает ему получить цифровую подпись от центра сертификации, если центр не будет пытаться проверять право на владение сайтом?

Надеюсь, это достаточно понятно

1

Сообщение от Hretgir Не совсем понятна необходимость сертификата для сайта

защита от MITM

0

Сообщение от N3utr1no Надеюсь, это достаточно понятно

Дочитал, спасибо всё понятно.

0

Сообщение от Hretgir получив ответ с сертификатом, проверяет его в сертификационном центре

Проверяется цифровая подпись сертификационного центра, входящая в состав сертификата

1

Сообщение от Black Fregat Проверяется цифровая подпись сертификационного центра, входящая в состав сертификата

спасибо за уточнение.

0