VeriSign Thawte TRUSTe vs noname SSL

Основной аспект, это наличие корневого сертификата в тех или иных реестрах.

Могу посоветовать пройти валидацию здесь:

http://www.startssl.com/?app=40

В отличие от традиционного взимания платы за сертификат, денег стоит только процедура верификации, дальше, в течение года, можно выпускать неограниченное кол-во сертификатов, в т.ч. многоэтажных wildcard и мультидоменных.

Единственное, где не видел корневого старткомовского, это TheBat старых версий, когда использовался собственный реестр а не виндовской.

---------- Добавлено 18.02.2013 в 15:09 ----------

Да, сейчас придут торговцы воздухом и убедят вас в том, что это неправда.

Если вы владелец PayPal, то там наверно стоит задумываться, у кого именно получать сертификат, т.к. этот сертификат под луппой могут изучать пользователи. Если же у вас обычный интернет-магазин, то подойдёт любой SSL-сертификат, на который не будут ругаться браузеры из-за того, что он выдан неизвестным центром сертификации.

Ведь главное от сертификата, чтобы данные в шифрованном виде передавались, и браузер не ругался. А для этого подойдёт и за 5$ сертификат (достаточно в Гугле "cheap ssl" набрать). Конечно можно заплатить больше и получить сертификат, который делает адресную строку зелёной, но на шифрование данных это не влияет, чисто понты в основном.

Я понимаю техническую суть ssl

Меня волнует, зачем платить 500$ в год TRUSTe? За что? Что они реально делают, кроме значка красивого? Они что то в ОНЛАЙНЕ проверяют?

Что проверяют - зависит от типа сертификата.

http://habrahabr.ru/post/51315/

Для интернет-магазина хватит недорогого сертификата за $20-$30-$40

Ценник у них такой из-за имени и того, что весь софт знает их сертификаты.

Но это не мешает пользоваться услугами более мелких центров. У мелких сертификаты проверяются по цепочке и верхним сертификатом все равно будет Verisign или другой большой. Например если браузер знает только про Verisign, то "Вася Пупкин Security" может вполне спокойно выдавать сертификаты интернет-магазинам, главное чтобы сертификат самого "Вася Пупкин Security" был подписан Verisign'ом. Тогда браузер проверяет сертификат магазина, находит что он подписан неизвестным "Вася Пупкин Security", проверяет сертификат неизвестного центра "Вася Пупкин Security", находит что он подписан известным ему Verisign'ом и принимает решение доверять всей цепочке и интернет-магазину в частности.

Вот примерно за это Verisign и ломит цены - за то, что его сертификаты знают все.

Нужен был сертфикат для софта, так thawte проверил практически все, начиная от данных регистрации фирмы и самой фирмы, кончая сканами разных документов.

Правда все через email/ticket

Один раз? Я вот почему докапываюсь: мне из принципа уже интересно, как эту систему хакнуть... Т.е. Я плачу один раз 500 баксов, а потом собираю 100500 мильенов с доверчивых юзеров, клюнувших на модную картинку и все? Чао? В РФ-то они что со мной сделать могут? Ну будет обуза рано или поздно. Ну отзовут сертификат. Учитывая всю тягомотину, с обузой еще "поторговаться" можно. Короче, странная какая-то хрень. От злоумышленников точно не спасает. Только от злобных кулхацкеров, перехватывающих наши пароли по wi-fi )))

С таким подходом проще ограбить банк :)

Мороки столько же, риски те же, выхлоп — больше.

Почему? После отправки всех сканов ООО можно закрыть (а можно и не открывать - фейковые отправить - сомнительно, что штатовские конторы проверяют через налоговую или рег.палату).

Паспорт - понятное дело, тоже.

Я к тому, что понятие "проверка" документов через тикеты - это какой то апофеоз абсурда. Я молчу, про то, что регистраторы доменных имен ничего не проверяют при регистрации - тут хотя бы, без визита в офис не перегистрировать домен. Но проверка уставных документов компании заверенных нотариусом, путем изучения СКАНОВ этих документов...

Во-первых, сертификат нужен не для того, чтобы напрямую оградить пользователя сайта от всех невзгод.

Сертификат нужен, чтобы пользователь мог быть уверен, что он на сайте именно той фирмы, за которую этот сайт себя выдаёт, а не на сайте мошенников. И чтобы пользователь был уверен, что данные передаются по защищённому соединению и никому более недоступны.

Во-вторых, сертификационный центр может вас попросить прислать нотариально заверенные оригиналы ваших документов с переводом на английский.

Вот тут тонкий момент - "может" или "попросит" в 100% случаев?

P.s. Я умышлено довожу ситуацию до абсурда - очень хочется разобраться в сути вопроса.