SSL sertifikasından şifreyi kaldırmak iyi bir uygulama mı?

Apache yeniden başlatma sırasında şifre istemlerinden kaçınmak için SSL sertifikalarından şifreleri kaldırması gerektiğini birkaç blogda okudum.

Bu doğru mu ve bu herhangi bir güvenlik riski oluşturuyor mu?

Evet, bir web sunucusunu başlatırken istemlerin terminale gönderilmesini durduracaktır.

Ve evet bir güvenlik riski oluşturuyor çünkü sertifika şifrelenmeden önce şimdi düz metin. Bu, makineden tamamen çalışan bir sertifikanın çalınmasının mümkün olabileceği anlamına gelir.

Bunun sizin için önemli bir güvenlik riski oluşturup oluşturmadığı, size ne olursa olsun yansımaların ne olacağına ve bu şekilde yaparak ne kazandığınıza bağlıdır.

Hizmetlerin, genel olarak SSL sisteminin güvenliğinden daha katılımsız olsa bile, zarif bir şekilde yeniden başlatılması sizin için daha önemliyse, bu doğrudan bir cevaptır.

Şahsen, SSL sertifikalarının şifresi çözülmüş kopyalarını genel olarak tutmanın tipik iş yüküm için eksilerden daha fazla artısı olduğunu düşünüyorum, bu yüzden;

1. Saldırganın şifrelenmiş olsa bile sertifikanın bir kopyası olur, bu nedenle yine de iptal etmek sizin göreviniz olur.
2. Günümüzde bir saldırganın sosyal mühendislik yoluyla siteniz için geçerli bir sertifika alması, çalışan bir kopyasını çalmaktan çok daha kolaydır.
3. Sertifikalar doğal olarak, saldırı yüzeylerini sınırlandırarak sona erer.
4. Geleneksel izinler ve SELinux gibi ana bilgisayar tabanlı güvenlik sistemleri, platformdaki sertifikaları korumak için sağlam bir yol sunar.
5. Sertifika, güvenli bir sistemin hepsi ve sonu değildir. Sakladığınız veriler, depoladığınız ortam ve verilerin değeri ve / veya kişisel doğası gibi dikkate alınması gereken birçok başka husus vardır.

Beni şifreleyebilecek şeyler:

1. Sertifikayı karşılıklı kimlik doğrulama gerçekleştirmek için kullandıysanız.
2. Bir joker karakter sertifikası veya birden çok alan adını barındıran bir sertifika (kayıplar çift veya üçlü veya bunun için birçok ana bilgisayar kullanılabilir)
3. Sertifika başka bir şekilde çok amaçlıdır.
4. Sertifikaların amacı, bütünlük değeri yüksek verilerin (tıbbi kayıtlar, finansal işlemler ve benzeri) sağlanmasıdır.
5. Diğer uç, yüksek derecede güven bekliyor ve / veya operasyonel kararlar vermek için sisteminizin bütünlüğüne güveniyor.

Sonuçta, sizin için güvenlik kararları almak için başkalarına güvenmeyin. Mümkün olduğunca çok bilgi kullanarak riskleri değerlendirmeniz ve sizin ve kurumunuz için neyin en iyi olduğunu belirlemeniz gerekir.

Biraz daha güvenlik sağlar, ancak gerçek şu ki, birisi özel SSL anahtarınıza erişmek için sisteminize yeterince girmişse, muhtemelen daha büyük sorunlarınız var demektir.

Pratik bir bakış açısından, apache'nin bir parola koymak için her yeniden başlatılması gerektiğinde gerçekten orada olmak ister misiniz?

Yapabileceğiniz bir şey, anahtar parolanızı sunucunuzda korumalı tutmak (ve normal sistem güvenliği ile korumak) ve başka bir yerde sakladığınız anahtarın yedeğini bir parola ile saklamaktır. Yani birisi sunucunuz dışında bir yerden anahtarı hurda edebiliyorsa (çok daha büyük olasılıkla, birileri dizüstü bilgisayarlarının masaüstünde çalındığını düşünün) hala korunmaktadır.

Oturum açmak için kullanılan Cient anahtarları parola korumalı olmalıdır.

SSL tabanlı hizmetlerin manuel müdahale olmadan yeniden başlatılmasını istiyorsanız, iki seçeneğiniz vardır:

1. Anahtarda bir parola yok ve yalnızca ihtiyacı olan hizmetlerin erişebilmesi için koruyun.
2. İhtiyacı olan hizmetlerin şifreyi sağlayabilmesi için şifreyi sunucuda düz metin veya eşdeğeri düz metin olarak saklayın. (Güvenli olmayan yapılandırma dosyalarında parolanın birden çok kopyası olabilir.)

Anahtarın yedek kopyaları parola korumalı olmalı ve parola korumalı değil gibi korunmalıdır.