我需要什麼SSL證書？

Question

我正在開發將使用ClickOnce（在網站上foo.com）部署軟件，然後將與加密傳輸

所以我需要一個SSL證書將連接到使用WCF我的服務器：

• 確定我foo.com網站真的是我的網站
• 確定我部署使用ClickOnce的exe爲真正
• 確定我的應用服務器已經真正成爲我的應用服務器。

我也希望我的SSL證書通過爲公衆所知的機構簽名（IE，火狐或窗口不會要求用戶先安裝權威的證書！）

什麼SSL證書會你買？

我瀏覽過的網站威瑞信的「安全站點EV」證書費1150年€（下稱「親」的版本只用於與舊瀏覽器的兼容性似乎有用）

Answer 1

這聽起來像你正在尋找兩種不同類型的證書：

1 - SSL證書 - 爲您的網站/應用服務器的身份驗證。

2 - 代碼簽名證書 - 用於完成/驗證您提供的exe文件。

通常，這些是兩個不同的證書，具有兩個不同的證書配置文件。至少，您需要一個具有兩種不同密鑰用法或擴展密鑰用法的證書。

不按特定順序的一點想法：

• 檢查你的目標瀏覽器，他們應該每個都有一組預先配置的根證書 - 這些都是最廣泛認可的公共證書來源。我可能會檢查Firefox和IE瀏覽器。我認爲是大牌的證書供應商有：Versign，GeoTrust，RSA，Thawte，Entrust。但也有GoDaddy和其他許多人。作爲受信任根證書的交付瀏覽器中的任何內容都將允許您連接到您的用戶而無需額外的greif。

• 我建議使用谷歌搜索「代碼簽名證書」和「SSL證書」。

• 如何配置您的網站將決定您的網站是否經過驗證或您的驗證服務器是否經過驗證。如果證書存儲在應用程序服務器上，那麼您的用戶將獲得SSL加密，直到服務器。但是很多網站都將SSL證書放在了一個更遠的地方 - 就像在防火牆上一樣，然後將一系列應用服務器放在它後面。我認爲，只要網絡配置得當，就不會出現安全漏洞。對於外部用戶來說，這兩種配置看起來都是一樣的 - 他們將在瀏覽器上獲得鎖定，並通過一個證書告訴他們www.foo.com提供的憑據。

我看到了SSL證書非常偉大的交易： - GoDaddy的 - $ 12.99 - Register.com - $ 14.99

但他們不一定代碼簽名certifiates。例如，雖然GoDaddy的SSL Cert是12.99美元，但他們的code signing certs是199.99美元！這是許多證書供應商商業模式的一部分 - 用廉價的SSL證書引誘您，並讓您支付代碼簽名費用。可以做出代碼簽名證書的責任相對較高的情況。但也......他們必須以某種方式補貼便宜的SSL證書。

從理論上講，應該可以製作既能執行代碼簽名又能執行SSL的證書，但我不確定您需要這樣做。如果發生什麼事情，能夠隔離這兩個功能將會很好。另外，我敢肯定，你必須打電話給證書供應商，詢問他們是否這樣做了，如果他們不這樣做，讓他們這樣做可能會擡高價格。

至於供應商，要考慮的事情：

• 技術是幾乎一樣的。這些日子，目標是至少128位密鑰，我可能會把它碰到256，但我是偏執狂。
• 除了瀏覽器可接受性之外，支付更多費用的唯一原因是名稱識別。在那些偏執的安全團隊中，我期望RSA，Thawte，Verisign和GeoTrust有非常好的聲譽。也許EnTrust也是。如果您正在處理以安全爲中心的產品，這可能只是重要的。我認爲你的普通用戶不會那麼清楚。
• 從安全性極客的角度來看 - 您只與您的根CA（證書頒發機構）的安全性一樣安全。對於真正的偏執狂來說，要做的事情就是深入挖掘公司如何託管其根源並頒發CA的背景材料，他們如何進行物理安全性檢查？網絡安全？人員訪問控制？另外 - 他們是否擁有公共CRL（證書吊銷列表），您如何取消證書？他們是否提供OCSP（在線證書狀態協議）？他們如何檢查證書申請者以確保他們向正確的人頒發正確的證書？ ......如果你提供的東西必須非常安全，所有這些東西都很重要。諸如醫療記錄，財務管理申請，稅務信息等應得到高度保護。大多數網絡應用程序的風險並不高，可能不需要這種審查。

在最後一顆子彈 - 如果您深入瞭解世界的Verisigns - 非常昂貴的證書 - 您可能會看到價值。他們擁有龐大的基礎設施，非常重視他們的CA安全。我不太確定超便宜的託管服務。也就是說，如果您的風險很低，SSL證書的US $ 300與US $ 12.99相比沒有多大意義！

Answer 2

所以對於網站/應用服務器你需要一個SSL證書。你做不是需要EV證書。我已經使用了QuickSSL中的一些，因爲與其他一些便宜的證書提供程序不同，它們不需要在服務器上安裝中間證書 - 這對我來說是沒有人的。

對於完全不同類型的證書（類型，它仍然是X509證書，但是用於您的網站的應用程序不是您可以用來簽署應用程序的應用程序）的應用程序。您需要Verisign或Globalsign之類的驗證碼簽名證書。這是一個比普通的舊SSL證書更昂貴的要求，並要求您成爲註冊公司並生成這些文件。