Archivi categoria: Certificati SSL EV

Certificati SSL DV StartSSL, Gratuiti Ma…

StartSSL rappresenta, per molti di coloro i quali si avvicinano per la prima volta al mondo della certificazione SSL e non possono disporre di elevati mezzi finanziari per investire in questo campo, un’alternativa interessante, grazie soprattutto alla possibilità di ottenere, (apparentemente) in maniera gratuita, certificati SSL Domain Validated da installare sul proprio server.

Il principale beneficio di questa CA (colpita da un attacco hacker nel 2011), riconosciuta dalla maggior parte dei browser come attendibile, è giustificato quindi dal costo, che ad una prima occhiata può apparire azzerato, supportando il pensiero di coloro i quali consigliano di non acquistare alcun prodotto brandizzato in quanto perfettamente sostituibile da un certificato di StartSSL. Attenzione! non è tutto oro quel che luccica. Scopriamo insieme il perché di questa nostra affermazione.

Certificati SSL DV StartSSL

In caso di ordine di un certificato SSL “Classe 1” (Domain Validated) da StartSSL il modulo di sottoscrizione richiederà l’inserimento di dati anagrafici relativi ad una persona fisica, soggetto che la Certification Authority riterrà da quel momento in poi responsabile per l’emissione e la relativa veridicità delle informazioni riportate. Questo significa che anche nel caso un certificato SSL emesso da un sottoscrittore fosse in seguito da lui destinato ad una Società nessuna autenticità verrebbe garantita a quest’ultima, persistendo quindi un rapporto unico e diretto tra CA e “richiedente autorizzato”.

I certificati SSL appartenenti a questa categoria possono essere adoperati solo per fini non-commerciali, sono validi solo per 12 mesi, possono avere un solo nome dominio per certificato (nessuna possibilità, quindi, di Wildcard o di multi-dominio) e un solo certificato per nome dominio. La validazione del dominio garantita dai certificati SSL DV StartSSL dura 30 giorni, al termine dei quali il processo di verifica deve essere necessariamente ripetuto nelle medesime modalità iniziali. Qualora il richiedente non rispettasse questa scadenza di revisione StartSSL provvederebbe all’annullamento del certificato in oggetto o, addirittura (nei casi più gravi), alla cancellazione di tutti i certificati SSL emessi da quell’utenza.

Certificati SSL OV E EV StartSSL

Per quanto riguarda queste 2 categorie di certificati SSL emessi da StartSSL il processo di verifica pre-emissione ha un costo dovuto una tantum; il titolare dell’account, una volta superato con successo, potrà richiedere l’emissione di svariati certificati SSL, tutti emessi a nome della medesima Società. StartSSL, nella policy presente sul suo sito web, afferma che qualsiasi comportamento irrispettoso delle regole decise porterebbe alla revoca dei certificati SSL .

Revoca dei certificati SSL StartSSL, Quando Avviene E Cosa Comporta

Ecco le motivazioni che provocano la revoca dei certificati SSL emessi da StartSSL:

  • presenza di una Chiave Privata potenzialmente corrotta;
  • inserimento, nel modulo di sottoscrizione, di informazioni errate e/o ingannevoli;
  • mancato rispetto della policy presente sul sito di StartSSL;
  • mancanza del server dal quale è partita la richiesta per il certificato SSL;
  • richiesta di revoca espressa dal sottoscrittore.

StartSSL prevede, per ogni certificato SSL revocato, il pagamento di una penale di 24,90 USD$. E’ bene segnalare che la revoca anche di uno solo tra i certificati SSL richiesti da un sottoscrittore potrebbe portare, in casi di particolare gravità, alla cancellazione dell’intero registro di certificati presenti all’interno del suo bouquet.

In definitiva, StartSSL resta una delle CA sicuramente più interessanti nel mercato della sicurezza dei siti web, ma all’interno delle pieghe della propria policy nasconde condizioni che possono variare non di poco la scelta sull’affidarsi o meno all’organizzazione in questione in merito alla fornitura di certificati SSL per la sicurezza della propria presenza online.

Annunci

2 commenti

Archiviato in Certificati SSL, Certificati SSL EV, Certificati SSL Gratis, Certificati SSL OV, EV/Extended Validation, HTTPS, Sicurezza Connessioni

Certificati SSL OV E EV, Ecco I Controlli Richiesti

I certificati SSL OV (Organization Validation) e EV (Extended Validation) sono, al contempo, in grado di garantire un maggior livello di credibilità relativamente alla Società che detiene il dominio (grazie al processo di verifica da completare per poter essere emessi) e di richiedere tempi di creazione piuttosto lunghi, in grado di protrarsi nel caso in cui non si prestasse sufficiente attenzione alle richieste che le CA pongono solitamente in essere.

Per iniziare, vediamo quali sono i principali prodotti che rientrano in queste 2 famiglie; per quanto riguarda il gruppo dei certificati SSL OV rientrano:

Al fine di poter essere emessi entro i termini annunciati dalla CA (3-5 giorni lavorativi), tali certificati digitali richiedono:

  1. la iscrizione della Società titolare presso il database nazionale delle Aziende (potrebbe trattarsi sia di una fonte governativa o di una che da quest’ultima ha ricevuto approvazione) o sul sito internazionale “Dun & Bradstreet”, disponibile sia in versione internazionale sia italiana. E’ importante che lo status della Società sia, nei casi previsti qui sopra, raffigurabile come “Attivo”.
  2. la titolarità del dominio per il quale si richiede il certificato in capo alla Società che sta effettuando la richiesta. Questo tipo di informazioni è disponibile presso i registri WHOIS (si veda, a questo proposito, il registro WHOIS per nomi dominio .it, WHOIS per domini .com, WHOIS per domini .net, e via dicendo). E’ fondamentale verificare il nome dell’Organizzazione (deve essere assolutamente identico a quello incluso nel modulo d’ordine), l’indirizzo stradale e il contatto Organizzativo responsabile del dominio stesso.
  3. la presenza di un numero fisso, attribuito all’azienda, verificabile sui registri telefonici riconosciuti (per GeoTrust le fonti ritenute, al momento, attendibili comprendono PagineBianche, PagineGialle, Pagine-Mail, Infobel Italy, RegistroImprese, 1818.com, 892 892, GuidaMonaci, Kompass).

Tra i certificati SSL Extended Validation rientrano invece:

Per questo genere di prodotti la Certification Authority responsabile chiede il rispetto delle seguenti condizioni, da soddisfare prima dell’esecuzione della richiesta o, al massimo, appena dopo il pagamento dell’ordine:

  1. verificare la registrazione della Compagnia che detiene il dominio all’interno del database nazionale per le imprese, edito dal Governo nazionale o approvato da quest’ultimo;
  2. accertarsi che la Società/Organizzazione proprietaria del dominio sia stata fondata almeno 3 anni prima della richiesta per il certificato SSL. Nel caso in cui il periodo intercorso sia minore sarà necessario fornire i dettagli di iscrizione al registro di Duns & Bradstreet o inviare a GeoTrust una lettera bancaria che indichi gli estremi di registrazione della Società stessa;
  3. cercare sul WHOIS di appartenenza (si vedano sopra i dettagli) con quale Denominazione è indicata la Società/Organizzazione che detiene il dominio, l’indirizzo della sede e il contatto Amministrativo di tale registrazione. Sarà importante modificare tutti i dettagli non più validi in maniera tale da poter consentire a GeoTrust di completare positivamente le verifiche richieste per l’emissione del certificato;
  4. avvertire le Risorse Umane o la Direzione della chiamata telefonica che GeoTrust effettuerà per verificare la presenza del contatto Amministrativo in azienda e il ruolo di quest’ultimo all’interno dell’organico. Non sarà difatti sufficiente l’autocertificazione di un semplice impiegato, a meno che lo stesso non sia indicato come Dirigente;
  5. controllare che il numero telefonico inserito nel modulo d’ordine all’interno del contatto Amministrativo sia presente in un registro telefonico online (per sapere quali sono quelli approvati da GeoTrust si prega di verificare le indicazioni fornite al terzo punto del processo di verifica per i certificati SSL OV). Si consiglia l’inserimento di un centralino in grado di smistare le chiamate.
  6. indicare, come Contatto Amministrativo, una persona presente in Azienda per l’intera giornata. In questa maniera sarà più semplice permettere la verifica delle informazioni riportate sull’ordine e, di conseguenza, favorire l’emissione della certificazione SSL nei termini temporali previsti.

Il rispetto delle regole sopra indicate per i 2 gruppi di certificati, seppur del tutto indicative e non ufficialmente confermate dalla CA, sarà in grado di ridurre le tempistiche di emissione previste (3-5 giorni lavorativi per i certificati SSL OV e 7-10 giorni lavorativi per i certificati SSL EV).

2 commenti

Archiviato in Certificati SSL, Certificati SSL EV, Certificati SSL OV