SSL

http://www.thawte.com/

Надо покупать.

Купить можно например у geotrust, godaddy.com, и т.д.

У верисигна бешеных бабок оно стоит, у thawte тем более.

http://www.comodogroup.com/ не сильно дорого? :)

Спасибо, разобрался. Только вот остался вопрос чисто теоретического характера. Насколько я понимаю, технически никакого значения не имеет, кем подписан сертификат. Тогда откуда такая паника вокруг этих подписей?

Теоретически, если твой сертификат подписывает к примеру Verisign, то тем самым он подтверждает. что твой сайт безопасен для работы, в смысле не является "левым" двойником сайта банка какого-нибудь, или почтовой системы, созданного для воровства паролей. Так сказать, они несут некую ответсвенность за тебя. Помню, что для сертификата Verisign мы отправляли кучу бумаг, в том числе свидетельство о регистрации компании в Канаде, и они там что-то проверяли.

Но это же "филькина грамота". Такая ситуация возможна только в том случае, если существует законодательная база, причем, в данном случае, международная. Иначе я, например, тоже открою такую контору и буду направо-налево подписывать все подряд. Этот вопрос меня и интересует. Кто занимается контролем подписей? И почему, например, подпись verisign "весит" больше, чем подпись ЗАО "Рога и Копыта" ? Или тут уместно говорить об общественном договоре? О_о

Тем, что корневой сертификат(не уверен в правильности термина) Verisign установлен у клиента. Если ты свой генереный сертификат(тот которым подписывал сертификат сервера) подсунешь клиенту, то последний будет считать его вполне "красивым".

>>П.С. Да, и где можно посмотреть список тех, чьей подписи доверяют?
зависит от приложения,
firefox: Инструменты->Настройки->Дополнительно->Безопасность->Просмотр сертификатов->Центры сертификации
IE: Tools->Internet Options->Content->Certificates->Trusted Root Certification Authorities
curl: man curl