Яким чином браузер відрізняє фальшивий SSL-сертифікат від справжнього?

Браузери використовують кілька механізмів для перевірки справжності SSL/TLS сертифікатів і відрізняють фальшиві сертифікати від справжніх. Основні способи включають:

1. Перевірка ланцюга сертифікації: Кожен SSL/TLS сертифікат підписується сертифікаційним центром (CA). Браузер перевіряє, чи сертифікат виданий довіреним сертифікаційним центром і чи є в ньому справжня підписка. Сертифікати організовуються в ланцюги, де кореневий сертифікат CA є основою довіри. Браузер перевіряє, чи всі сертифікати в ланцюзі дійсні.
2. Термін дії сертифіката: Браузер перевіряє, чи термін дії сертифіката не минув. Сертифікати мають визначені дати початку та закінчення, і браузер не довіряє сертифікатам, термін дії яких закінчився.
3. Перевірка доменного імені: Браузер перевіряє, чи сертифікат відповідає доменному імені, на яке користувач намагається підключитися. Наприклад, сертифікат, виданий для example.com, не буде дійсним для sub.example.com, якщо не передбачено специфічне підписання.
4. CRL та OCSP: Браузери використовують механізми перевірки статусу сертифікатів, такі як Certificate Revocation List (CRL) та Online Certificate Status Protocol (OCSP). CRL — це список сертифікатів, які були відкликані CA. OCSP дозволяє браузерам запитувати статус сертифіката в режимі реального часу, щоб перевірити, чи не був сертифікат відкликаний.
5. Перевірка підпису: Браузер перевіряє цифровий підпис сертифіката за допомогою публічного ключа сертифікаційного центру. Якщо підпис не збігається, сертифікат вважається фальшивим.
6. Сигналізація браузера: Якщо сертифікат не проходить перевірку, браузер зазвичай відображає попередження або повідомлення про те, що з’єднання може бути небезпечним. Це може включати в себе значок закритого замка, що показує, що з’єднання не є безпечним.
7. Використання надійних CA: Браузери мають списки довірених сертифікаційних центрів, з якими вони працюють. Якщо сертифікат виданий не відомим або ненадійним CA, браузер не довіряє такому сертифікату.

Ці механізми дозволяють браузерам виявляти фальшиві сертифікати і захищати користувачів від потенційно небезпечних з’єднань.