12

Estou trabalhando em uma loja virtual, e preciso saber qual o melhor certificado em relação Custo x Benefício, preciso indicar um certificado para o cliente, mas essa é a primeira vez que trabalho com um.

Lembrando que como é uma loja virtual, ela trabalhará com alguns dados sensíveis como número de cartão de crédito e etc. Então é vital que a comunicação transite em um canal seguro e também que o usuário possa reconhecer essa segurança.

Algumas opções de Certificado Digital:

 ____________________________________________________________________________________________________________________________________________________
| Certificadora     | Certificado           | Encriptação                   | Informações                                       | Preço              |
|-------------------------------------------|-------------------------------|---------------------------------------------------|--------------------|
| GeoTrust          | Rapid SSL             | 128 bits                      | Compatibilidade com 99% dos browsers              | R$ 74.00BRL /ano   |
|                   |                       |                               | Selo GeoTrust True Site                           |                    |
|                   |-----------------------|-------------------------------|---------------------------------------------------|--------------------|
|                   | Quick SSL             | SSL até 256-bits              | Compatibilidade com 99% dos browsers              | R$ 290.00BRL /ano  |
|                   |                       |                               | Emissão rápida e instalação fácil                 |                    |
|                   |-----------------------|-------------------------------|---------------------------------------------------|--------------------|
|                   | QuickSSL Premium      | 256-bits                      | Compatibilidade com 99% dos browsers              | R$ 330.00BRL /ano  |
|                   |                       |                               | Selo GeoTrust True Site                           |                    |
|                   |-----------------------|-------------------------------|---------------------------------------------------|--------------------|
|                   | True BusinessID       | SSL 256-bit                   | Compatibilidade com 99% dos browsers              | R$ 450.00BRL /ano  |
|                   |                       |                               | Fácil e rápido de instalar                        |                    |
|===================|=======================|===============================|===================================================|====================|
| VerySign          | Secure Site           | SSL até 256-bits              | Selo VerySign Secured®                            | R$1,100.00BRL /ano |
|                   |                       |                               | Verificador de instalação                         |                    |
|                   |-----------------------|-------------------------------|---------------------------------------------------|--------------------|
|                   | Secure Site Pro       | SSL de 128-bit até 256-bit    | Validação domínio e organização                   | R$2,400.00BRL /ano |
|                   |                       |                               | Selo VerySign Secured®                            |                    |
|                   |-----------------------|-------------------------------|---------------------------------------------------|--------------------|
|                   | Secure Site EV        | SSL até 256-bits              | Validação Avançada (EV): Barra de endereço verde  | R$2,600.00BRL /ano |
|                   |                       |                               | Selo VerySign Secured®                            |                    |
|                   |-----------------------|-------------------------------|---------------------------------------------------|--------------------|
|                   | Secure Site Pro EV    | SSL de 128-bit até 256-bit    | Validação Avançada (EV): Barra de endereço verde  | R$4,200.00BRL /ano |
|                   |                       |                               | Selo VerySign Secured®                            |                    |
|___________________|_______________________|_______________________________|___________________________________________________|____________________|

As dúvidas que tenho são as seguintes:

  • Os certificados da GeoTrust são inferiores aos da VerySign?

    • Por isso são mais baratos?
    • Ou apenas tem "menos nome" no mercado?
  • Por que as encriptações são até X-bits?

    • X-bits é o tamanho da chave de criptografia?
  • Compensa pagar mais por uma "barra verde"?

    • Por quê?
    • Tem alguma influência por baixo dos panos?
1
  • Relacionado: "Como o HTTPS (SSL) funciona?". As respostas atuais já estão muito boas, quanto a esse detalhe da chave esta outra pergunta pode te ajudar a entender melhor o processo (o certificado só é usado pra assinar, uma chave diferente é usada pra cifrar, e essa chave é efêmera - criada unicamente praquela sessão e jogada fora no final).
    – mgibsonbr
    29/09/2015 às 23:16

3 Respostas 3

8

Certificados mais baratos:

  • tem menos nome, isto importa em algumas situações, em parte existe um motivo para ter menos nome, em parte é marketing;
  • são aceitos em menos navegadores e outros softwares (em geral sistemas operacionais) que buscam certificados, mas isto não costuma ser um problema sério hoje em dia já que todos os principais são aceitos em navegadores até bem antigos e aplicações que você tem controle pode adicionar entidade certificadora, isto é importante mas já foi mais que hoje;
  • as indenizações se ocorrer alguma quebra são maiores nos mais caros, os mais baratos talvez nem exista tal compensação;

Os certificados da GeoTrust são inferiores aos da VerySign?

  • Por isso são mais baratos?
  • Ou apenas tem "menos nome" no mercado?

Se os gratuitos, GeoTrust, Verisign ou outra marca são inferiores vai da necessidade e objetivo de cada um. Para a maioria dos casos, faz pouca ou nenhuma diferença. Por isso hoje o grosso do uso vai com Let's Encrypt.

Por que as encriptações são até X-bits?

  • X-bits é o tamanho da chave de criptografia?

A quantidade de bits indica a força da proteção da chave, o quanto é difícil quebrar a criptografia da chave. Não dos dados que sua aplicação/site trafega. Evidentemente há um custo de processamento maior com chaves maiores. Mas o custo é maior por razões comerciais e talvez porque ele ofereça algo a mais, tenha um processo de verificação mais apurado e obviamente mais custoso. Isto não costuma ser um problema nos dias de hoje.

Mas tenha em mente que a certificação só garante quem é que está daquele lado, ele não te protege de nada e não protege o usuário além de dizer que o fornecedor que eles está acessando é aquilo mesmo.

Compensa pagar mais por uma "barra verde"?

  • Por quê?
  • Tem alguma influência por baixo dos panos?

Se compensa pagar mais depende do objetivo. Você acha necessário que os usuários vejam a tal barra verde para se sentirem mais seguros? O mesmo vale para os demais selos de garantia ou barras de outras cores. Mas é só psicológico, marketing.

Cada categoria tem um nível de exigência diferente. Os mais caros exigem mais comprovações da organização certificada e podem deixar os usuários mais seguros. Novamente, você escolhe que nível de segurança (no sentido psicológico mesmo) quer dar ao seu usuário.

É claro que os mais caros podem ter um fluxo de verificação que evitam alguns tipos de ataques como o Man in the Middle. Mas não consegue resolver por completo.

Quanto mais você paga, mais você está dizendo para quem entenda dessas coisas que você quer se mostrar um fornecedor seguro. É claro que o fraudador fará o mesmo para enganar os incautos.

Mesmo nas certificadoras mais caras existem casos graves de fraudes.

O termo segurança usado aqui foi mais no sentido de confiabilidade da pessoa que está atrás do software (provavelmente um site) que o usuário está usando. Mesmo assim diz muito pouco.

A única coisa que o certificado ajuda na segurança é ter uma chave pública de verificação confiável a ser usada. nada impede de você mesmo providenciar esta chave pública. O problema é que os seus usuários terão que confiar 100% em você, não existirá ninguém atestando que você é minimamente confiável. Isto funciona em alguns casos. Mas raramente em sites públicos.

Coloquei no GitHub para referência futura.

7
  • bigown a certificação só garante quem é que está daquele lado, ele não te protege de nada e não protege o usuário como assim? O tráfego não é criptografado pela chave do certificado?
    – KaduAmaral
    27/07/2015 às 19:51
  • Não diretamente. Ele usa uma chave pública para indicar quem é você, assim fica mais complicado o tráfego ser forjado, mas isto por si só não garante a segurança. A criptografia do dado ainda terá que ser feita com outras chaves. Se você usar só a chave pública de verificação (pode existir outra chave pública de criptografia, é o mesmo que que não criptografar, afinal a chave é pública, é de conhecimento de todos.
    – Maniero
    27/07/2015 às 19:57
  • Certo, então eu que tenho que realizar essa criptografia? Fornecendo a chave publica e descriptografando no servidor com uma chave privada?
    – KaduAmaral
    27/07/2015 às 20:02
  • 2
    É isto. Claro que o servidor HTTP faz por você se estiver devidamente configurado. É possível criptografar sem certificado. Só que vai avisar que não dá para confiar em quem está criptografando.
    – Maniero
    27/07/2015 às 20:04
  • A Empresa Certificadora fornece essas chaves, publica e privada?
    – KaduAmaral
    27/07/2015 às 20:35
6

No geral, quanto mais caro o certificado, mais "confiável" ele é -- do ponto de vista do cliente.

O tamanho da chave influencia também nesta confiabilidade, mas não é o principal fator. Qualquer certificado novo tem chave suficientemente forte. A chave é "até x bits" porque um browser mais antigo pode negociar uma chave menor (eu acho).

"Confiável" quer dizer que a autoridade certificadora tomou providências para verificar se quem pediu o certificado é realmente a entidade que alega ser.

Um certificado do mais barato, que custa apenas US$ 5 por ano, só verifica que você controla o domínio. Se você tem um e-mail @foobar.com.br, a CA presume que você controla foobar.com.br.

Certificados baratos também costumam ser emitidos por "sub-certificadoras", ou seja, a autoridade certificadora que o browser confia (A) assina o certificado B, que assina o certificado C, e a entidade C é quem vai assinar seu certificado D. Então a cadeia fica A-B-C-D, e provavelmente você terá de incluir os certs. intermediários B e C junto com seu certificado D, pois o browser só conhece A e nem todos fazem download dos certificados intermediários. (Testar o site com o www.sslabs.com é uma boa para pegar este tipo de problema.)

Já o certificado mais caro é assinado direto pela entidade A, então a cadeia de confiança fica bem curta. Não é uma vantagem técnica, mas diminui a chance de problemas, caso um dos certificados intermediários seja falsificado...

Certificados "barra verde" tem EV (Extended Validation), onde o processo de verificação de identidade é mais rigoroso, e mais importante, padronizado. Este tipo de certificado é desejável para bancos, e-commerce, etc. Qualquer hacker pode conseguir um certificado SSL para itauu.com.br, mas só o Itaú vai conseguir um certificado EV "Itaú", e a barrinha só vai ficar verde para itau.com.br.

Seja como for, a confiabilidade do certificado depende da qualidade da autoridade certificadora, e aí uma Verisign da vida tem mais nome que outras.

1
  • Legal esse exemplo do itauu! Outra coisa interessante é que você só consegue a "barra verde" se sua empresa já existe há pelo menos X anos (isso é verificado), tornando mais difícil esse tipo de fraude. No fim das contas, a diferença desse tipo de certificado pros certificados "comuns" é principalmente no fato de que a verificação da sua identidade seguiu um processo mais rigoroso.
    – mgibsonbr
    29/09/2015 às 23:11
3

O ponto básico é verificar garantia de compatibilidade com browsers.

Na verdade ninguém precisa comprar certificados SSL pois podem ser gerados gratuitamente.

O problema é que os browsers populares não reconhecem tais certificados a menos que o usuário instale-o no próprio browser e isso é inviável para o público geral. Isso acontece por questões de segurança pois seria um caos se os browsers permitissem qualquer emissor de certificados.

A diferença entre os certificadores homologados está nos recursos oferecidos. Volume de dados, seguros que variam entre 100k USD e 20m USD (isso mesmo.. 20 milhões de dólares), tipos de cripotografia, dentre outros.

Normalmente oferecem preço mais caro para a green bar, onde a barra da URL fica completamente verde.

inserir a descrição da imagem aqui

Visualmente dá uma melhor impressão, como se fosse mais seguro. Mas para mim, não passa de ostentação. Mas enfim, é apenas um recurso a mais que as empresas emissoras de certificados arranjaram para monetizar mais serviços.

Recomendo os provedores baratos para websites de pequeno e médio porte. Se o site não passa de 15 ou 30 mil acessos únicos / dia, pode usar desses mais baratos. Mas não recomendo um que chama-se "namecheap". Não é ruim, o problema é o nome que aparece na url do browser como "name cheap", causando uma má impressão como se o site fosse barato.

Desses baratos que eu posso recomendar é o "GlobeSSL". Boa reputação, excelente serviço e convenientemente barato.

De qualquer forma, não importa qual o tipo escolher, do mais barato ao mais caro, esteja sempre atento a segurança pois o SSL não é garantia de segurança, como já mencionado em outros comentários.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .