Практически все признают, что для аутентификации и шифрования в Интернете следует применять протокол SSL или виртуальные частные сети (VPN). За последние годы благодаря конкуренции цены на сертификаты снизились, и теперь можно приобрести обычные сертификаты SSL у авторитетных производителей менее чем за 100 долл. в год.

Другой продукт, ставший популярным в результате конкуренции, это групповой сертификат. Обычный сертификат применяется в одном домене, например www.foo.com. А групповой защищает все варианты доменного имени, в изменяемой части названия которого указывается групповой символ. Так, групповой сертификат для *.foo.com защитит домены www.foo.com, bar.foo.com, mail.foo.com, chasephish.foo.com и т. д.

Я получил от производителей много материалов по этому вопросу и как представитель прессы, и как потенциальный покупатель. Большинство выпускающих цифровые сертификаты организаций (certificate authorities, CA) явно рассматривают групповые сертификаты в качестве ответа на требования расширяющегося рынка. Если вы приобрели много доменных имен, то можете сэкономить значительную сумму, коль будете использовать групповой сертификат, а не отдельные для каждого из них. Но это зависит еще и от CA. Компания VeriSign, эта “ горилла” среди CA, устанавливает цену группового сертификата в зависимости от числа защищаемых доменов. Поэтому в данном случае вам не удастся много сэкономить, если вообще удастся.

Тем не менее удобство администрирования группового сертификата все же открывает возможность снизить затраты. Но такие сертификаты имеют и свои недостатки. Если что-то пойдет не так, об удобстве администрирования можно будет забыть. На сайте VeriSign приводится список отрицательных свойств групповых сертификатов: ·

  • безопасность -- если будет взломан один из серверов или суб-доменов, под угрозой окажутся все суб-домены; ·
  • управление -- при необходимости аннулировать групповой сертификат потребуется приобрести новый для всех суб-доменов; ·
  • совместимость -- групповые сертификаты могут вызывать сбои при работе с устаревшими клиент-серверными конфигурациями; ·
  • защита -- расширенная гарантия VeriSign NetSure не распространяется на ее групповые сертификаты Wildcard SSL.

Я надеюсь, нет необходимости напоминать, что VeriSign как главный игрок на этом рынке заинтересована в сохранении высоких цен. Так что ее рекомендации относительно групповых сертификатов следует рассматривать именно в таком свете. В последнем пункте списка VeriSign говорится, что уровень сервиса при использовании групповых сертификатов ниже. Таким образом, дело не в технологии. Но остальные три пункта звучат вполне разумно.

Действительно, в случае взлома групповой сертификат представляет более серьезную проблему, чем сертификат для одного домена. Вероятно, он является и более крупной мишенью. Но насколько серьезна данная проблема? Использование одного сертификата означает, что любой хост в домене применяет одни и те же пары ключей. Следовательно, если будут взломаны ключи для одного хоста, взломанным окажется весь домен. Одновременно большое количество систем, использующих эти пары ключей, увеличивает число потенциально уязвимых точек, через которые и может производиться взлом. В принципе это делает групповые сертификаты более слабым, заслуживающим меньшего доверия решением по сравнению с сертификатами индивидуальными.

Все, что VeriSign говорит об управлении, тоже верно. Но создает ли замена группового сертификата какие-то сложности, это зависит от используемой системы управления. Она может потребовать некоторых усилий, а может и не потребовать. Верно также, что когда возникает необходимость в аннулировании сертификата, CA должна действовать быстро, сразу, как только она появляется. Я не уверен, что все CA и даже наиболее авторитетные из них одинаковы в этом отношении.

Что касается совместимости, то может, такая проблема и существует. Но, как утверждает VeriSign, возникает она только при использовании устаревшего ПО.

Я подозреваю, что имеется мало фактических данных, свидетельствующих, будто групповые сертификаты создают больше проблем в области безопасности и управления, чем отдельные сертификаты для каждого домена. Различия, наверное, незначительны и обнаруживаются только при анализе большого числа случаев.