Dlaczego klucze do podpisu są tak drogie?

Question

Szukałem ostatnio klucza do podpisywania Autodesk i jestem zszokowany tym, jak są drogie. To dało mi do myślenia - większość rodzajów kluczy podpisujących, czy to Authenticode, SSL itp. - jest niezwykle kosztownych.

Czy jest jakiś techniczny powód, który sprawia, że ​​utrzymanie urzędu certyfikacji i generowanie kluczy jest drogie, czy może sprowadza się to do prostej monopolistycznej ekonomii?

Answer 1

CA muszą intensywnie inwestować w bezpieczeństwo (teoretycznie) i są całkowicie uzależnione od zaufania konsumentów, co oznacza, że ​​mają bardzo wysokie ryzyko w swoim modelu biznesowym (teoretycznie). Muszą przeprowadzać rygorystyczne audyty (teoretycznie) i szybko i sprawnie zarządzać incydentami bezpieczeństwa (teoretycznie). Muszą opracować bezbłędne oprogramowanie przeznaczone dla konsumentów (teoretycznie), dostarczać usługi o wysokiej dostępności (teoretycznie) i upewnić się, że odpowiednio sprawdzają każdego, do kogo dostarczają (teoretycznie). Muszą również pozostać w skróceniu wszystkich najnowszych badań PKI (teoretycznie). Ponadto wielu emitentów powierniczych oferuje pewien poziom usług ubezpieczeniowych, jeśli dorozumiane zaufanie certyfikatu w jakikolwiek sposób zawodzą.

Tak więc, teoretycznie, istnieje wiele dobrych powodów, dla których może to być kosztowne. Występują znaczne koszty związane z uruchamianiem urzędu certyfikacji. W rzeczywistości, ponieważ praktyki te są przypadkowo przestrzegane, a cały model PKI SSL/TLS został całkowicie ukierunkowany na monopole korporacyjne, przekonasz się, że marginesy są tak nieprzyzwoite, że praktycznie są licencją na drukowanie pieniędzy. Ludzie są zmuszeni płacić duże sumy pieniędzy za certyfikaty, które w ogóle nie spełniają tych gwarancji.

Wielkie firmy mogą sobie z tym poradzić, ponieważ opracowały sytuację polityczną, w której są niezbędne i nie są brane pod uwagę, ponieważ są "zbyt duże, aby upaść". W przypadku przeglądarek SSL zależą one od zaufania do urzędów certyfikacji, ponieważ wiele serwerów internetowych i ich użytkownicy końcowi (tj. Użytkownicy przeglądarki) korzystają z ich usług. Usunięcie urzędu certyfikacji (jakkolwiek byłoby to uzasadnione) byłoby denerwować wielu użytkowników, którzy nie rozumieliby, dlaczego pewien procent ich bezpiecznych witryn (takich jak banki, sklepy itp.) Nie jest już zaufany. W tym sensie model PKI SSL/TLS nie działa. Użytkownicy nie mają zaufania do tych usług, więc odrzucają odpowiedzialność za wystawianie zaufania przeglądarkom, które przekazują to do urzędów certyfikacji, ale wtedy przeglądarki nie mogą odwołać tego zaufania, ponieważ będą karane przez użytkowników - tak, aby urzędy certyfikacji mogły robić to, lubić.

W przypadku podpisywania kodu często oznacza to, że firmy zamieniają swoje dotychczasowe monopole w dalszy zysk. W niektórych przypadkach mają one wysoką marżę. Inne, takie jak Microsoft, są stosunkowo niskie i odzwierciedlają znaczny koszt zatrudnienia eksperta, który przeprowadzi dokładny audyt, a także reszty działu, który nadzoruje podpisywanie kodu (takie jak strona internetowa, wsparcie itp.). Ponieważ korzyści związane z zapewnieniem, że podpisywanie kodu działa zgodnie z zamierzeniami, są wysokie dla Microsoft, nie zależy im na osiągnięciu zysku z dostarczania certyfikatów. Koszt odzwierciedla fakt, że przeprowadzają dokładny, znaczący audyt i składają prawdziwe obietnice zaufania, które odzwierciedlają ich działalność.