Gratis SSL-certifikater giver risiko for svindel

En lille hængelås i browseren betyder at kommunikationen mellem din computer og hjemmesiden er krypteret. Mange internet-brugere opfatter SSL-kryptering som et tegn på, at der er tale om et seriøst websted. Men der er grund til at være forsigtig. Et SSL-certifikat er nemlig ikke ensbetydende med, at man kan stole på hjemmesidens ejer.

For at få et SSL-certifikat er det normalt nødvendigt at henvende sig til et godkendt Certificate Authority (CA) som VeriSign eller et firma, der har en reseller-aftale med en CA. Inden certifikatet kan udstedes skal CA'en kontrollere, at certifikatet udstedes til den rigtige person - og ikke til en svindler, der skjuler sig bag en falsk identitet.

Det israelske firma StartCom har dog en anden opfattelse af SSL-systemet og forsøger nu at etablere sig som konkurrent til de eksisterende CA'er med tilbud om gratis SSL-certifikater - uden at ansøgerens identitet bliver kontrolleret.

»SSL er skabt for at kryptere trafikken mellem browser og server. Punktum,« fastslår StartCom, som har indrettet et webbaseret system, hvor man let og hurtigt kan oprette et certifikat der kan anvendes til SSL-kryptering.

Men dermed kan tilliden til SSL risikere at lide et alvorligt knæk. For det første kan man ikke være sikker på, om StartCom gemmer en kopi af nøglen og dermed kunne være i stand til at koble sig ind i den krypterede kommunikation. Men langt mere alvorligt er, at det uden videre er muligt at bestille et certifikat for en fremmed hjemmeside, f.eks. eBay eller Amazon.

Dermed kan svindlere, som indretter falske kopi-hjemmesider for at lokke internet-brugere til at indtaste personlige data, benytte fuld SSL-kryptering - symboliseret ved den lille hængelås i browseren, der kan snyde brugeren til at tro at der er tale om en troværdig hjemmeside.

StartCom er dog ikke godkendt som root-CA og browseren vil derfor vise et advarselsvindue, hvis man går ind på en SSL-krypteret hjemmeside, der benytter et af firmaets certifikater - f.eks. cert.startcom.org.

Det bedste råd er at tage et grundigt kig på certifikatet, inden man går ind på ukendte websteder.

For hjemmeside-ejere, som ønsker at spare pengene til et SSL-certifikat, kan det være fristende at benytte StartCom's tjeneste. Men hvis man vil undgå, at de besøgende konfronteres med et advarselsvindue i browseren, kan det måske betale sig at ofre de 129 dollar, som et godkendt 128-bit SSL-certifikat eksempelvis koster hos QualitySSL.