هم‌زمان با انتشار تیلز ۰٫۱۰ تارنمای آغاز به استفاده از یک گواهی تجاری اس‌اس‌ال کرد. این گواهی جدید جایگزین گواهی جدیدی می‌شود که توسط مرجع غیرتجاری CACert صادر شده بود.
گواهی‌های اس‌اس‌ال چه هستند؟
استفاده از اچ‌تی‌تی‌پی‌اس به جای اچ‌تی‌تی‌اس ساده برای متصل شدن به یک تارنما به شما اجازه می‌دهد تا ارتباطتان با سرور را رمزگذاری کنید. اما تنها رمزگذاری تضمین نمی‌کند که در حال ارتباط با سرور درست هستید و کسی در حال جا زدن خود به جای آن سرور نیست، برای مثال اتفاقی که در حملهٔ فرد میانی رخ می‌دهد.
گواهی‌های اس‌اس‌ال سعی بر حل این مشکل دارند. یک گواهی اس‌اس‌ال صادرشده از سوی یک مرجع صدور گواهی دیجیتال برای اطمینان خاطر دادن در مورد هویت یک سرور است. هنگامی که به یک تارنما می‌رسید ممکن است مرورگر وب شما در صورت اعتماد به مرجعی که گواهی اس‌اس‌ال آن تارنما را صادر کرده، به طور خودکار به آن تارنما نیز اعتماد کند.
مراجع تجاری صدور گواهی دیجیتال از راه فروش گواهی‌های اس‌اس‌ال درآمد کسب می‌کنند؛ معمولاً اکثر مرورگرها به طور خودکار به آن‌ها اعتماد دراند. مراجع غیرتجاری دیگری مانند CACert باید برای اجتناب از نشان دادن هشدارهای امنیتی هنگام بازدید از تارنماها باید روی سیستم‌عامل یا توسط کاربر نصب شوند.
ضعف‌های این سیستم
اما ثابت شده که این سیستم اعتماد چندین مشکل دارد. برای نمونه در سال ۲۰۱۱ دو مرجع صدور گواهی دیجیتال دچار مشکل شدند و گواهی‌های بسیاری صادر شده و مورد استفاده قرار گرفتند. رجوع کنید به کومودو: مشکل اخیر RA و پروژهٔ تور: Debacle, و کارهایی که شما باید بکنید.
It is clear for us that getting an commercial SSL certificate is not enough to strongly authenticate our website, and for example authenticity of our releases. That's why we always propose you stronger ways of authenticating our Tails release using OpenPGP signatures.
پس چرا یک گواهی تجاری گرفتیم؟
با این حال تصمیم گرفتیم که به دلایل زیر از یک گواهی تجاری استفاده کنیم:
- این کار اجرای حمله‌های فرد میانی ساده علیه افرادی که تا به حال از اچ‌تی‌تی‌پی‌اس برای بازدید از تارنمای ما استفاده نکرده‌اند را دشوارتر می‌کند.
- تارنمای ما حالا تنها در صورت فعال بودن اچ‌تی‌تی‌پی‌اس قابل‌مشاهده است. این کار می‌تواند برای ایجاد حدودی محرمانگی برای مثال هنگام پست کردن در انجمن‌های ما مهم باشد.