SSL sertifikasını barındıracak sunucuda CSR'ler oluşturulmalı mı?

54

Web uygulamamı ve SSL sertifikamı barındıracak aynı makinede CSR (Sertifika İmzalama İsteği) oluşturmak gerekli midir?

SSL Shopper'daki bu sayfa öyle diyor, ancak bunun doğru olup olmadığından emin değilim, çünkü kümemdeki her sunucu için ayrı bir SSL sertifikası almak zorunda kalacağım.

Bir KSS nedir? Bir CSR veya Sertifika İmzalama isteği, sertifikanın kullanılacağı sunucuda oluşturulan şifreli bir metin bloğudur.

ssl ssl-certificate csr

— Mike M. Lin
kaynak

1

"Sunucu" kelimesinin farklı anlamlarını karıştırıyorsunuz. "Kümemdeki her sunucu " derken , "sunucu" ile fiziksel bir kutu demek istiyorsun. " Sertifikanın kullanılacağı sunucuda " deyince, fiziksel bir kutu olsun ya da olmasın, bir hizmet sağlayan bir şey ifade ederler. (Bir CSR oluşturduğunuzda, bir CA'ya göndermeden önce, ilgili özel anahtarın tam olarak nerede olduğunu bildiğinizden% 100 emin olun. Sertifika onsuz işe yaramaz.)

— David Schwartz

61

Hayır. Ortaya çıkan sertifikayı barındırmak istediğiniz makinede CSR oluşturmak gerekmez. CSR yok ya sertifika sonunda ile eşleştirilmiş olacak veya eşleşen özel anahtar CSR oluşturma sürecinin bir parçası olarak oluşturulduğunun mevcut özel anahtarı kullanılarak oluşturulan gerekir.

Önemli olan, kaynak ana bilgisayardan çok değil, özel anahtar ve sonuçta ortaya çıkan ortak anahtarın eşleşen bir çift olması.

8

Ve özel anahtarın gizli kalması . Her yere kopyalayıp sadece arkadaşınıza e-postayla göndermeyin ve sizden csr oluşturmasını isteyin.

— Ladadadada

4

Anahtar + sertifikayı belirli bir makine ile kullanımla sınırlayan faktör, DNS'dir ( aynı zamanda benzersizliğin yanı sıra cn veya SubjectAltName alanı ile aynı olmalıdır). Aynı özel anahtarı yalnızca birden fazla sunucu ile kullanmak daha yüksek bir risk profili oluşturmakla kalmaz, aynı zamanda yazılım bazen seri numarasını kullanarak birden fazla ana bilgisayarı algılar. (iyi bir sebeple)

— Andrew B

(Ayrıca, cevabı kabul ediyorum, "müşteri tarafından algılanan ana bilgisayar adı" ifadesini kullanmalıydım)

— Andrew B

26

Kce doğru öldü, kesinlikle aynı makinede yapılması gerekmez, ancak ilgili özel anahtardan yapılması gerekir.

İkinci bir cevabı gönderiyorum tek nedeni hiç kimsenin neden böyle bir şey yapmak isteyebileceğini söylememesidir . Neredeyse oluşturduğum her anahtar / CSR seti dizüstü bilgisayarımdan veya masaüstümden yapılıyor, daha sonra anahtar güvenli bir şekilde sertifikanın yükleneceği sunucuya kopyalanıyor ve CSR imzalama ajansına gönderiliyor. Sebep entropi: SSL sertifikaları genellikle sunucuları güvence altına almak için kullanılır ve sunucular genellikle oluşturdukları keypair'leri zayıflatan veya oluşturma işleminin uzun zaman almasını sağlayan çok sığ entropi havuzlarına sahiptir. Öte yandan masaüstleri, klavye / fare kablolarıyla bağlanan kullanışlı bir rastgele kaynak kaynağına sahiptir ve bu nedenle derin entropi havuzlarına sahip olma eğilimindedir. Bu nedenle, yüksek kalitede rasgele sayılar gerektiren işlemler için çok daha iyi platformlar oluşturuyorlar;

Bu nedenle, yalnızca anahtar / CSR sunucu dışında üretilemez, ancak bunu yapmak için sık sık iyi bir neden olduğunu anlıyorum.

— Çılgın Şapkacı
kaynak

2

İnsan riskini entropi riskinden daha büyük olarak görüyorum. Ayrıca masaüstleri, işletim sistemi yöneticilerine ve varlık yönetimi politikalarına bağlı olarak kendi risklerinin bir bolluğuna sahiptir. (şifrelenmemiş özel bir anahtarsa, silinmeden önce sabit disk sektörleri parçalanıyor mu? Kullanıcı uygulaması hiç anahtarı açığa çıkarma riski taşıyor mu?) PKI, birçok insanın başından sonuna kadar anlamalarına güvenmediğim şeylerden biri. İnsan hata elemanını boşa harcayalım, bu yüzden "bunu yapmak için iyi bir sebep" olduğu yönündeki soruyu sorguluyorum. Aksi takdirde, ilginç bir nokta.

— Andrew B,

Bunların hepsi makul sorulardır, özellikle de anahtar üretimi için en iyi uygulama listesine çevrilmişlerse. İsteyenler bunu almak için gerçekten ciddi bazı mükemmel bir öneri yok serverfault.com/questions/307896/... - Soru CA üretimi ve işlenmesi hakkında ama bu fikirlerin birçoğu da anahtar çiftinin en çok uygulama için kabul edilebilir nesil.

— MadHatter

Bu şimdi adil, teşekkür ederim. Sadece bir tür feragatname olması gerektiğini hissettim, çünkü bunu en iyi uygulama ifadesi olarak yorumlamanın risklerini anlamayan rütbe ve dosya yöneticileri için tehlikeli. Anahtar çalınabilirse, oyun biter.

— Andrew B,