那些關於SSL/TLS的二三事(七) — 憑證的種類

當你向CA申請/購買憑證時, 也要為你的憑證選擇信任等級, 不同等級所要驗證的項目也是不同的, 這邊只介紹常見的三種.

DV — Domain validated (Basic)

• 最基本的SSL憑證, 也是中小型網站較常採用的解決方案. CA會簽發專屬於某個domain的SSL, 此SSL基本上不會驗證任何項目, 所以也無法保證網站持有者的身份或是其組織是否真實存在
• 網址列會出現綠色鎖頭的icon

綠色鎖頭icon

• 通常滿便宜的
• 有wildcard(萬用字元)以及multi domain的支援
• 申請之後基本上會立即簽發, 只要取得後安裝在相對應的domain即可使用
• DV SSL通常只能當作加密傳輸工具使用, 沒有額外的安全保障

OV — Organization validated (Enhanced)

• 商業級別的信任等級, 憑證中會同時記載該憑證所擁有的domain之組織單位
• 因為需要驗證組織單位(如證件, 營利事業登記證等文件, 以確保該單位的真實性), 所以過程會比DV來得久, 通常申請後要把組織單位的憑證提供給CA進行人工審核/簽章/留底保存
• 網址列一樣會出現綠色鎖頭的icon
• 比DV更值得信賴(因為證書就是申請的單位在使用的)
• 以Yahoo奇摩購物中心為例, 就是OV的一種:

Yahoo!奇摩購物中心的憑證(1)

Yahoo!奇摩購物中心的憑證(2)

• PChome也是OV的一種:

PChome的憑證

EV — Extended validated (Complete)

• 最高等級的憑證, 通常由具有高度安全性或是高可信賴性的網站所擁有
• 除了OV的驗證單位流程之外, 還會有其他的徵信措施參與其中, 譬如單位地址, 電話, 執行業務調查等, 這是因為要確保申請單位的實際業務與其登記的業務內容是匹配的. 由於這種過程比較仔細, 通常得要花上幾個工作天的時間才可以完成
• 除了綠色鎖頭之外, 組織名稱也會顯示在瀏覽器的address bar上

組織名稱會出現在address bar上

• 以花旗銀行來說, 其所使用的憑證就是EV等級:

EV憑證的長相

References

• SSL/TLS Operations