SSL jest do bani

Popularny stan­dard SSL i jego roz­winięcie TLS bazują na mechanizmach, które w prak­tyce uniemoż­liwiają szyb­kie roz­poznawanie wadliwych cer­tyfikatów i nie pozwalają spraw­nie zarządzać zaufaniem. W efek­cie prawie każda agen­cja wywiadow­cza świata może mieć dostęp do naszych danych.

[mj12]

Przede wszystkim artykuł powinien mieć tytuł "PKI jest do bani". Autor skupił się na wadach PKI, natomiast SSL/TLS wykorzystuje certyfikaty X.509 przede wszystkim do potwierdzanie tożsamości stron komunikacji (oraz do wyliczania klucza sesji, zależnie od użytego zestawu algorytmów).

Niby miejscami autor ma trochę racji, np. to że producenci oprogramowania niekiedy bardzo swobodnie podchodzą do tego co jest np. w RFC. Standardy jako takie są w miarę dopracowane i w jako-tako działają (mimo

[mj12]

@breeder:

"Z kolei SSL/TLS to już konkretny mechanizm, który jest jednym z wielu sposobów realizowania PKI."

Mam poważne wątpliwości co do tego sformułowania. Rzuć okiem do RFC 5246 - kwestia sprawdzania ważności certyfikatów jest tam potraktowana po prostu po macoszemu. Ot, są certyfikaty bierzemy z nich klucze i jedziemy. Jest parę wiadomości dotyczących certyfikatów ale SSL/TLS to przede wszystkim protokół komunikacyjny i skupia się na tym jak (nie)bezpiecznie (-; przesłać dane przez

[breeder]

@mj12:

Ale właśnie to jest kwestia definicji. PKI to po prostu kryptosystem bazujący na kluczu publicznym, nawet nie na certyfikacie. Z kolei SSL/TLS to już konkretny mechanizm, który jest jednym z wielu sposobów realizowania PKI. W przypadku SSL/TLS używa się X.509 do przesyłania informacji związanych z certyfikatami i kluczami. Więc PKI nie jest winna, tylko ta jej konkretna implementacja jest winna.

Oczywiście w każdym PKI pojawi się kwestia zarządzania zaufaniem do klucza,