Est-ce que compte là où les fichiers CSR et les fichiers clés de la certification SSL sont générés?
Je dois créer un CSR pour un certificat SSL Wildcard. Certaines FAQ des fournisseurs SSL disent que je devrais générer le fichier CSR sur la machine où je souhaite installer le certificat? Ma compréhension est que cela ne devrait pas compter sur l'endroit où je générerai le fichier CSR ou le fichier clé aussi longtemps que je déplace les fichiers vers le bon emplacement ultérieurement.
Donc, ma question est la suivante: est-ce que la CSR et les fichiers clés de la certification SSL sont générés?
Votre compréhension est correcte. Toutes les autres choses étant égales, peu importe; Mais il y a des rides.
Un avantage de les générer sur le serveur en question est-il minimisant les chances que la clé soit compromise en transit. Tant que vous utilisez une machine sécurisée pour les générer, et une méthode sécurisée (immunisez sur les attaques MITM) pour les déplacer sur le serveur, vous allez échapper à cela. N'oubliez pas de les effacer en toute sécurité sur le système de génération, à moins que vous n'ait délibérément pas à conserver des copies et que vous êtes sécurisé en conséquence.
Un avantage de générer sur une machine séparée: généralement, ce sera votre bureau. Le pool d'entropes sur une machine de bureau est presque toujours plus profond que sur un serveur sans surveillance, car le bureau a une grande source de hasard connectée via les câbles de clavier et de souris (c'est-à-dire que vous!). La pénurie d'entropie peut soit provoquer une génération de clé de prendre beaucoup de temps, soit la cause de l'utilisation /dev/urandom PRNG Sortie à la place, en fonction de la manière dont le paranoïde l'outil générateur est, ce qui peut entraîner des touches plus faibles; les machines de bureau ont tendance à ne pas avoir ce problème.
Edit ultérieur : conformément à ne discussion ailleurs qui relie ici, deux points ont été soulevés. Premièrement, vous pouvez aller chercher une maison à mi-chemin en générant le entropie sur votre bureau avec par exemple dd if=/dev/random bs=1k count=10 of=/tmp/entropy.dat, copier ça sur le serveur distant et l'alimentant à votre processus de génération de clé soit directement ou en approfondissant le pool d'entropie du serveur distant. Je n'ai pas encore trouvé de moyen de faire le premier et que ce dernier nécessite généralement d'exercer des privilèges, ce qui - si le canal entre vous et le serveur distant n'est pas sécurisé, ce qui est plutôt le point de toute l'objection - est également insécurité.
Deuxièmement, l'estimable MJG59 soulève le problème des modules de sécurité matériels - c'est-à-dire des périphériques dans lesquels vous mettez, ou à l'intérieur que vous créez, des clés privées et qui effectue ensuite des opérations de clé sans jamais laisser la clé . C'est un excellent point, mais en dehors de la portée de cette question.
Mais le résultat plus général du fil - que vous devriez avoir un modèle de menace précis et choisir vos réponses de manière appropriée - est une bonne. Mon modèle de menace est que mes canaux de communication sont en sécurité, mais mes points finaux sont sous une attaque intelligente. Cela signifie que je vais générer des claviers SSL fortement forts localement et les distribuer. S'il s'avère que mon modèle est inexact et que mes comms se révèlent vulnérables, je saurai immédiatement à supposer que toutes mes claviers SSL sont compromis. Si votre modèle de menace est différent, vous devez adapter vos pratiques en conséquence.
Cela compte quelque peu.
Si vous les générez sur une autre machine, les touches sont vulnérables sur la machine génératrice, puis sur le serveur. Si vous utilisez une machine infectée pour les générer, certaines ViriI pourraient voler les touches, même avant qu'ils ne soient déplacés vers le serveur sécurisé.
Si vous les générez sur un serveur sécurisé et déplacez simplement le CSR/CERT autour, les chances de quelqu'un/quelque chose que la clé privée est plus petite, puis dans le premier cas, car la clé privée est située uniquement sur une machine.