Web sitemizin SSL anahtarını nasıl gizli tutabilirim?

Web sitemiz için SSL anahtarımızı gizli tutmak istiyorum. Biri kasada ve diğeri güvende tuttuğum 2 USB bellekte depolanır. Ve sonra tamamen güvenli olması için web sunucusuna uygulayan tek kişi benim.

Dışında...

En azından IIS'de anahtarı dışa aktarabilirsiniz. Böylece yönetici olan herkes anahtarın bir kopyasını alabilir. Bunun etrafında bir yol var mı? Veya tanım gereği tüm yöneticilerin tüm anahtarlara tam erişimi var mı?

Güncelleme: Tamamen güvendiğim sistem yöneticilerim var. Buna yol açan bunlardan biri (firmamıza bir saat gidip, yenisine 5 dakika gidip geldi). Bu kişiye güvenirken, birisi ayrıldığında Active Directory hesaplarını devre dışı bıraktığımız gibi, SSL'imizi kullanma yeteneğini korumamalarını sağlamak için bir yolumuz olması gerektiğini düşündüm.

Ve beni en kolay etkileyen şey, ona sahip olan tek kişi olsam. Sertifikamız Ocak ayında sona eriyor. Cevaplara dayanarak yapamayız gibi görünüyor.

Böylece bu yeni bir soruya yol açar - sertifikaya erişimi olan biri ayrıldığında, yeni bir sertifika almak ve mevcut olanı iptal ettirmek standart bir uygulamadır. Yoksa kalan kişi güvenilirse, o zaman sahip olduğumuz sertifikaya devam edelim mi?

Bir sunucuya yönetimsel (hatta fiziksel olarak) erişimi olan bir kişi özel anahtarı çıkarabilir. İster dışa aktarma, bellek koklama veya başka bir hile ile.

Yöneticilerinizin web sunucularınızın özel anahtarlarına erişimi vardır. Bunu gerçek olarak kabul edin ve bunun üzerinde çalışın. Sistem yöneticileriniz güvenilir değilse, daha iyi sistem yöneticilerine veya web sunucularına erişimi olan en az daha az sistem yöneticisine ihtiyacınız olabilir. Eğer bir yönetim güvenliği paranoyası söz konusuysa, bir sistem yöneticisine güvenme yetenekleriyle ilgili daha derin bir sorun olabilir.

Bu, herkesin özel anahtara erişmesine izin vermeniz gerektiği anlamına gelmez. Erişim verilmeden önce her zaman erişim ihtiyacı olmalıdır. Bunu göz önünde bulundurarak, bir web sitesinin tam kontrolüne sahip bir sistem yöneticisinin özel anahtarı dışa aktaramayacağından emin olmak için aşırı önlemler alacak mısınız, ancak yine de web sitesinin kendisini neredeyse izlenebilir olmayan şekillerde manipüle edebilecek misiniz? Buraya güvenmeye geri döndük ve bence sorunun çözülmesi gereken temel nokta bu.

Anahtarı içe aktardığınızda, dışa aktarılamaz olarak işaretleme seçeneğiniz vardır. Bu, dışa aktarmak için IIS'yi veya MMC sertifikasını kullanmanızı engeller. En azından biraz zorlaştırıyor.

Bununla birlikte, makinede bir yönetici hesabı varsa veya hesaba fiziksel erişimleri varsa - yine de anahtarı başka yollardan alabilirler.

Burada bir "ara CA" yardımcı olabilir.

Aşağıdaki bu örnekteki "Kök CA", size ait olmayan bir SSL şirketine aittir.

Kök CA tarafından oluşturulan anahtarların doğrudan denetimine sahip değilsiniz, bu nedenle Kök CA tarafından imzalanan bir anahtarın güvenliği ihlal edilirse, iptal etmek için bunlardan geçmeniz gerekir.

Fakat:

Root CA (SSL company)
 |
 +-Intermediate CA (You)
   |
   +-Server Key for site

Ortaya başka bir CA yerleştirirseniz ve satın aldığınız SSL sertifikanızın sunucu sertifikanızı doğrudan imzalamak yerine kendi CA sertifikanızı imzalamasını istiyorsanız, aşağıdaki sunucu sertifikalarının kontrolünü elinde tutabilir ve iptal sertifikaları verebilir veya altındaki şeyler tehlikeye girerse başka bir şey yapabilirsiniz .

Intermediate CA özel anahtarını kendinize saklarsınız ve yöneticilerin bunu görmesi gerekmez.

Bunu da yapabilirsiniz:

Root CA (SSL company)
 |
 +-Intermediate CA (You)
   |
   +-Server Key 1 for site
   +-Server Key 2 for site 
   +-Server Key 3 for site

Uzlaşmaya hazırlanabilir ve önceden sertifikalar oluşturabilirsiniz, böylece tek bir anahtarın iptal edilmesi durumunda hızlıca geçiş yapabilirsiniz. Yöneticiler 1'den ödün verene kadar 2 veya 3 için anahtar alamazlar. Sitenize bu şema hakkında bir bildirim gönderebilirsiniz ve bu da yöneticilerinize bir uzlaşma durumunda hazır olduğunuz ve end sitenizi yok etmez.

Özel anahtarların sunucu dışında bir yerde saklanmasını öneren birçok makale vardır, ancak bu özel anahtarlar kod imzalama sertifikaları içindir . Çevrimdışı bir bilgisayarda yalnızca erişiminiz olan anahtarlara sahip olduğunuzu, bazı yazılımların yazıldığını, özel anahtarı çevrimdışı sunucudan aldığını, kodu imzaladığını ve bazılarını imzalamanız gerekene kadar özel anahtara ihtiyacınız olmadığını düşünün. tekrar kodlayın.

En iyi çözüm her zaman olmuştur ve anahtarınızı çevrimdışı olarak saklamaya devam edecektir. Bunu nasıl yapacağınız tamamen size bağlıdır (birkaç yöntem vardır), bir ofiste güvenli bir yerde veya birinin cebinde tutmasının kolay olmadığı bir yerde iyi korunmasını sağlamayı unutmayın.

Daha fazla bilgi için: https://www.thesslstore.com/blog/heres-what-happens-when-your-private-key-gets-compromised/

Buna karşılık, SSL sertifikaları web sitelerinin HTTPS iletişimini etkinleştirmesi içindir: Özel anahtar, web sunucusu tarafından her el sıkışma sırasında gereklidir. Bu nedenle, çevrimdışı depolamak işe yaramaz.