Jeszcze rok czy dwa lata temu, w czasach kiedy na rynku prym wiodły Internet Explorer 6 i Firefox 2, przeglądarki internetowe dość łagodnie podchodziły do problemu błędnych certyfikatów SSL chroniących serwisy internetowe czy serwery pocztowe.
Czasy jednak się zmieniły, użytkownicy Internetu boją się o swoje bezpieczeństwo, a coraz więcej oszustów podszywa się pod oryginalne serwisy internetowe. Rosnące zagrożenia zauważyli twórcy przeglądarek internetowych i w najnowszych wersjach programów podeszli do problemu znacznie poważniej. Użytkownicy są bardzo wyraźnie ostrzegani przed serwisami, które używają niepoprawnych certyfikatów SSL.
Dotychczasowe okienko z niezrozumiałym komunikatem, które wszyscy nauczyliśmy się ignorować. Komunikat zajmuje teraz całe okno przeglądarki, elementy graficzne kojarzą się z niebezpieczeństwem — króluje kolor żółty i czerwony. Dodatkowo użytkownik może dowiedzieć się na jakie niebezpieczeństwo może narazić się użytkownik, który zdecyduje się nadal korzystać z tego serwisu.
Najczęstsze błędy certyfikatów
Błędy, przed którymi przeglądarki internetowe ostrzegają użytkownika to:
- Certyfikat SSL serwisu internetowego został odwołany
Poważny błąd! Ten komunikat najczęściej oznacza, że certyfikat jest wykorzystywany przez witrynę w sposób nieuprawniony. Prawowity właściciel certyfikatu mógł na przykład utracić klucz na skutek włamania i zażądał od wystawcy certyfikatu (centrum CA) jego unieważnienia. Natomiast Ty w tej chwili masz zamiar odwiedzić stronę, która posługuje się unieważnionym certyfikatem! Zanim zignorujesz to ostrzeżenie dobrze się zastanów czy właściciel najpierw unieważniłby dokument, a następnie próbował się nadal nim posługiwać. - Adres witryny nie odpowiada adresowi zawartemu w certyfikacie
Serwis internetowy korzysta z certyfikatu, który został wystawiony dla innej nazwy domeny. Często występuje, jeśli certyfikat został wystawiony np. dla nazwy www.certi.pl, a w przeglądarce internetowej otwierasz stronę certi.pl. Zignoruj błąd tylko jeśli masz pewność, że witryna jest rzeczywiście związana z serwisem dla którego został wystawiony certyfikat. To tak jak z dowodem osobistym, w którym z rzeczywistością zgadzają się wszystkie dane poza imieniem i nazwiskiem. - Certyfikat jest nieaktualny
Certyfikaty SSL ważne są od określonego dnia przez rok lub kika lat. Ten wygasł i właściciel powinien go odnowić w centrum CA. Przeterminowany certyfikat SSL jest tak samo niewiarygodny jak dokument, który utracił swoją ważność. Praktyka pokazuje, że nawet największym zdarza się przegapić termin odnowienia certyfikatów. - Certyfikat nie pochodzi z zaufanego źródła
Bardzo często spotykany błąd, najczęściej chodzi o certyfikat self signed (więcej na ich temat poniżej). Przeglądarka ostrzega przed certyfikatem, który został wydany przez organizację, która nie jest uznawana za zaufaną. Taki przypadek może mieć też miejsce, jeśli na przykład z telefonu komórkowego, a serwis internetowy został zabezpieczony prostym certyfikatem. Jeśli korzystasz z wiarygodnego serwisu internetowego, to prawie na pewno nie natrafisz na ten błąd. Jeśli jednak tak się stało, poważnie zastanów się nad zignorowaniem ostrzeżenia, ponieważ pod oryginalną witrynę mogą podszywać się oszuści.
Certyfikaty self signed
Certyfikat self signed to certyfikat SSL podpisany przez właściciela serwisu internetowego na którym jest zainstalowany albo przez inną, niezaufaną organizację (na przykład firmę, która zbudowała serwis). W rzeczywistości oznacza to, że właściciel serwera sam zaświadcza, że jest tym za kogo się podaje lub prosi znajomego, który potwierdzi że “on to on”. Prawda, że ciekawy pomysł? Nie można jednak powiedzieć, by wzbudzał zaufanie.
Certyfikaty self signed są dość często wykorzystywane również na potrzeby wewnętrznych systemów organizacji. Jeśli faktycznie próbujesz połączyć się z takim serwisem internetowym, to możesz zaimportować certyfikat główny (CA root) organizacji. Dzięki temu certyfikaty wydane przez tę organizację staną zaufane dla Twojej przeglądarki. Dzięki temu przy kolejnej wizycie przeglądarka nie będzie wyświetlała ostrzeżenia o problemie z certyfikatem.
Zastanawiam się kogo stać na utratę klientów spowodowaną wykorzystaniem certyfikatów self signed, skoro najtańszy certyfikat SSL można mieć za mniej niż 0,30zł dziennie (na przykład certyfikat RapidSSL)! Kto zdecyduje się na zakupy w sklepie internetowym, przed którym ostrzega go Microsoft albo Google?
Jeden obraz wart jest tysiąca słów
Zanim napisałem powyższy tekst, sprawdziłem jak 4 najpopularniejsze (lub najciekawsze) przeglądarki internetowe (Internet Explorer, Firefox, Opera i Google Chrome) ostrzegają użytkownika przed błędami w certyfikatach SSL. W przyszłym tygodniu komentarz wraz z kompletem zrzutów ekranów. Zapraszam!
Dla zainteresowanych, polecam cykl wpisów poświęconych rozpoznawaniu certyfikatów Extended Validation przez różne przeglądarki internetowe.
