为什么浏览器会显示不受信任的SSL证书的丑陋错误？

Question

当面对不受信任的证书时,我知道的每个浏览器都会显示一个类似于此的明显错误:

那是为什么？

这强烈反对网络开发人员使用像SSL这样的强大技术,因为担心用户会发现网站非常阴暗.Ilegitimate(即:网络钓鱼)网站在HTTP上做得很好,所以这不是一个问题.

他们为什么让它看起来像这么大？即使不受信任,也没有拥有SSL比不拥有它更好吗？

---

看起来我被误解了.我怀疑HTTP站点不能比HTTPS站点更安全,即使不受信任.HTTP不进行加密或识别.网络钓鱼者可以在HTTP上创建自己的网站,并且不会显示任何警告.真诚地,我至少在加密流量.怎么会有坏事呢？

Answer 1

他们这样做是因为SSL证书不仅仅意味着通过网络保护通信.它也是一种识别被保护内容来源的手段(通过假证书来自中间人攻击的安全内容不是很有帮助).

除非您让第三方验证您是您所说的人,否则没有充分理由相信您的信息(通过SSL发送)比您首先使用SSL时更安全.

Answer 2

SSL通过允许相互身份验证,使用数字签名进行完整性以及加密隐私来提供客户端和服务器之间的安全通信.

(apache ssl docs)

是的,我没有看到任何关于所有浏览器都应该认为是"合法"的第三方证书颁发机构.当然,这就是世界的方式,所以如果你不想让人们看到一个可怕的页面,你必须得到一个浏览器会识别的人签署的证书.

要么

如果您只是为一小群人或内部人员使用SSL,您可以让人们在他们的浏览器中将您的根证书作为可信证书进行安装.这在LAN上可以很好地工作,网络管理员可以在整个网络上安装它.

建议将证书发送给人们进行安装可能听起来很尴尬,但如果您考虑一下,您更信任什么:您的浏览器附带的证书,因为该权限支付了他们的会费,或者您个人发送给您的证书服务器管理员/客户经理/内部联系？

只是为了屎和咯咯笑,我以为我会在OP的屏幕截图中包含"帮助我理解"链接显示的文字...

当您连接到安全网站时,托管该网站的服务器会向您的浏览器显示一个称为"证书"的内容,以验证其身份.此证书包含身份信息,例如网站地址,由您的计算机信任的第三方验证.通过检查证书中的地址是否与网站的地址相匹配,可以验证您是否与您想要的网站进行安全通信,而不是第三方(例如网络上的攻击者).

对于域不匹配(例如,尝试转到非通配符证书上的子域),此段落如下:

在这种情况下,证书中列出的地址与浏览器尝试访问的网站地址不符.造成这种情况的一个可能原因是,您的通信被正在为不同网站提供证书的攻击者截获,这会导致不匹配.另一个可能的原因是服务器设置为为多个网站返回相同的证书,包括您尝试访问的网站,即使该证书对所有这些网站都无效.Chromium可以肯定地说您已到达,但无法验证该网站是否与您要访问的foo.admin.example.com网站相同.如果继续,Chromium将不会检查是否存在任何其他名称不匹配.一般来说,最好不要超过这一点.

如果证书未由受信任的机构签名,则以下段落如下:

在这种情况下,证书尚未经过您的计算机信任的第三方验证.任何人都可以创建一个声称自己选择的网站的证书,这就是必须由受信任的第三方验证的原因.如果没有该验证,证书中的身份信息就毫无意义.因此无法验证您是否正在与admin.example.com进行通信,而不是生成自己声称为admin.example.com的证书的攻击者.你不应该超越这一点.

但是,如果您在生成自己的证书的组织中工作,并且您尝试使用此类证书连接到该组织的内部网站,则可以安全地解决此问题.您可以将组织的根证书导入为"根证书",然后您的组织颁发或验证的证书将受到信任,下次尝试连接到内部网站时您将看不到此错误.请与您组织的帮助人员联系,以获取有关向计算机添加新根证书的帮助.

最后的段落对我认为的这个问题做了很好的回答.;)