محمد نصیری
بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات

تفاوت EV ، OV و DV در گواهینامه SSL چیست؟ به زبان بسیار ساده

حتما شما هم با اسامی مثل EV و DV و OV و ... در زمان خرید SSL مواجه شدید ، بزارید قبل از این بحث یه پاراگراف با هم صحبت کنیم . سلام به همه گل پسرهای توسینسویی ! والا اصلا اینکار مردونست چه به دخترا که بیان SSL بخرن خخ شوخی کردم ... خیلی اوقات پیش میاد که ازم می پرسن که تفاوت این گواهینامه های SSL یا همون Certificate هایی که شرکت ها میدن در چی هست ؟ چرا یکیش رایگانه ! یکیش رو باید مثلا 10 میلیون پول بابتش بدی ؟

دوره های شبکه، برنامه نویسی، مجازی سازی، امنیت، نفوذ و ... با برترین های ایران

چه فرقی دارن این اسم های DV و OV و EV !!! کلا چه خبرشونه ؟ چه خبرررشووونه ؟ خوب امروز خیلی ساده براتون توضیح میدم ، ببینید اساسا از نظر امنیتی از لحاظ فنی هیچ تفاوتی بین گواهینامه های DV و OV و EV نیست ... هر کسی هم میگه اشتباه می کنه چون از لحاظ فنی بحث رمزنگاری و طول کلید مهمه و الگوریتم که اکثر اینها یکی هستن پس در عمل شما گواهینامه سه ماهه رایگان SSL بگیری هیچ فرقی با گواهینامه 5 میلیونی EV نداره اوکی ؟

اما کجاست که تفاوت ها ایجاد میشن ؟ تفاوت بین این نوع Certificate ها بحث احراز هویت شدن مجموعه ای هست که پشت وب سایت هست ، یعنی مثلا شما با گرفتن گواهینامه از نوع OV یا EV یا دیدن این نوع گواهینامه نباید شک کنید که پشت سر این مجموعه یک مجموعه حقوقی مثلا یک ارگان دولتی یا یک شرکت خصوصی وجود داره و شخصی نیست . به زبون ساده تر بگم وقتی میگیم گواهینامه احراز هویت مجموعه یعنی اینکه وقتی دارن به این وب سایت Certificate میدن و از نوع EV یا OV هست .

قطعا قبل از صدورش بررسی ها انجام شده که این شرکت کجا هست ، شماره ثبتش چیه ، مالکش کیه ، پاسپورت مالک کجاست ، شماره تلفن ثابتش احراز هویت میشه و کلی مدارک پست میشه تا گواهینامه برای اون محل صادر بشه اما وقتی میگیم DV یعنی فقط اون دامنه از نظر تبادلات اطلاعات رمزنگاری رو انجام میده ! دیگه بهشون ربطی نداره شما کلاهبرداری می کنید یا خیر ، خوب حالا بیاین یه کم ریزتر این موارد رو بررسی کنیم .

معرفی انواع SSL

گواهینامه احراز هویت دومین یا Domain Validation ( DV )

خوب از اسمش پیداست ، یعنی فقط کارش این هست که دامنه اینترنتی یا همون دومین شما رو احراز هویت می کنه و http شما رو تبدیل به https می کنه همین ! حالا کاری به طول کلید و الگوریتم نداریم ولی در کل کاری که انجام میده این هست که شما درخواست میدید ، مشخصات مورد نظرتون رو وارد می کنید ، فقط دومین شما احراز هویت میشه که روش های مختلفی هست از جمله ایمیل ، آپلود فایل در وب سایت یا FTP و ایجاد کردن رکورد در DNS سرورتون و بعد از انجام این مراحل براتون گواهینامه DV صادر میشه و می تونید استفاده کنید . توی این نوع Certificate که ارزونترین و بعضا رایگان هم می تونید تهیه کنید اگه بعد از نصب Certificate گزینه View Certificate رو بزنید هیچ اطلاعات خاصی در خصوص مالک سایت و ... داده نمیشه فقط میگه این دومین تایید شده هست . درسته اسم این گواهینامه DV هست اما الزاما شخصی هم نیست ، خیلی از سازمان ها و شرکت ها هم از همین گواهینامه استفاده می کنن و مشکلی هم نیست .

گواهینامه احراز هویت سازمان یا Organization Validation ( OV )

خوب این نوع گواهینامه درسته که اسمش سازمانی هست اما الزاما فقط برای سازمان ها نیست ، فقط نکته اینجاست که دیگه شخصی نمیشه این گواهینامه رو دریافت کرد ، شما پول اضافه تر پرداخت می کنید که شرکت و یا سازمانی که شخصیت حقوقی داره رو براش گواهینامه احراز هویت سازمانی دریافت کنید ، یعنی با دیدن این گواهینامه روی یک وب سایت و دیدن مشخصاتش شما می بینید که اطلاعات احراز هویت سازمان اسم و آدرس وب سایتش و شماره تماسش و ... همش هست و این گواهینامه به خاطر همین ارزش و اعتبار زیادی داره چون هویت حقوقی یک وب سایت رو تایید می کنه و ثابت می کنه که نمی تونه جعلی باشه .

برای گرفتن این گواهینامه دیگه فقط احراز هویت با وب سایت کافی نیست ، کلیه مدارک حقوقی که سازمان یا شرکت داره مثل اساسنامه و ... باید ترجمه رسمی بشه و اول بصورت ایمیلی ارسال بشه تا مراحل اولیه احراز هویت انجام بشه و بعدش شما باید کپی اصل مدارک رو برای شرکت صادر کننده گواهینامه پست کنید از طریق پست بین الملل تا اونها بتونن مطمئن بشن که واقعا شخصیت حقوقی هست . وقتی وب سایتی این گواهینامه رو داشته باشه ضمن اینکه نوار ابزارش سبز میشه روی گواهینامه که کلیک می کنید و گزینه View Certificate رو که می زنید قشنگ اسم سازمان و شرکت و ... کامل نشون داده میشه و خیال مشتری راحت میشه که طرف کلاهبردار نیست به همین خاطر هم هست که تفاوت چند برابری قیمت داره با DV و البته یه مقدار صدورش زمانبر هست تا مراحل احراز هویت شما انجام بشه .

گواهینامه احراز هویت دقیق یا Extended Validation ( EV )

خوب قویترین و معتبرترین و بهترین نوع گواهینامه SSL نوع احراز هویت دقیق یا EV هست که من از خودم احراز هویت دقیق رو در آوردم وگرنه معنی همچین جالبی هم نمی داد ! به هر حال وقتی سازمانی یا شرکتی این گواهینامه رو دریافت می کنه بالاترین درجه اعتماد اینترنتی رو می تونید بهش داشته باشید چون فیهاخالدون طرف رو در میارن وقتی قرار هست چنین گواهینامه ای به سازمان داده بشه و کلی مدارک و مستندات فیزیکی و ایمیلی و تلفنی و ... برای احراز هویت گرفته میشه و البته باید مدارک برای شرکت صادر کننده بصورت فیزیکی هم صادر بشه ! جالبترین قسمت و ویژگی بسیار خوب این نوع گواهینامه این هست که ضمن اینکه نوار ابزار سبز رنگ میشه ! اسم شرکت هم توی نوار ابزار دیده میشه و روش که کلیک کنید و View Certificate رو بزنید مشخصات کامل مالک مجموعه رو می بینید ، این گواهینامه ها قطعا بصورت شخصی صادر نمیشن و قطعا برای دریافتشون زمان بیشتری نیاز هست .

نتیجه گیری و خلاصه

خلاصه فکر می کنم کلیات ماجرا رو متوجه شده باشید ، اینها از نظر رمزنگاری تفاوتی ندارن از لحاظ فنی ، تفاوت در نحوه احراز هویت افراد و شرکت ها و حقوقی و حقیقی بودنشون و فرآیند صدور گواهینامه هست و بس ... اگر جایی واژه Wildcard رو شنیدید به معنی کارت وحشی نیست !! شوخی کردم ... منظور از Wildcard یعنی اینکه شما با گرفتن یک گواهینامه دیگه نیازی ندارید برای همه Subdomain هاتون گواهینامه جداگونه بگیرید . مثلا Tosinso.com و network.tosinso.com یک گواهینامه یکسان دارند . امیدوارم مورد توجه شما قرار گرفته باشه هر سئوالی داشتید در ادامه مطرح کنید با تشکر


محمد نصیری
محمد نصیری

بنیانگذار انجمن تخصصی فناوری اطلاعات ایران ، هکر کلاه خاکستری ، کارشناس امنیت اطلاعات و ارتباطات

محمد نصیری هستم ، هکر قانونمند و کارشناس امنیت سایبری ، سابقه همکاری با بیش از 50 سازمان دولتی ، خصوصی ، نظامی و انتظامی در قالب مشاور ، مدرس و مدیر پروژه ، مدرس دوره های تخصص شبکه ، امنیت ، هک و نفوذ ، در حال حاضر در ایران دیگه رسما فعالیتی غیر از مشاوره انجام نمیدم و مقیم کشور ترکیه هستم ، عاشق آموزش و تدریس هستم و به همین دلیل دوره های آموزشی که ضبط می کنم در دنیا بی نظیر هستند.

نظرات