Минусы обновления производственного SSL на сервере разработки?
Я работаю тех. Поддержка в компании веб-дизайна. Многие из наших прошлых клиентов размещены в другой компании ("Компания X"), но они обновляют свои SSL-сертификаты через нас. Мы продаем QuickSSL от GeoTrust. Мы развиваемся в.NET, поэтому весь хостинг - это IIS.
Компания X пошла на спад с тех пор, как мы начали (а затем прекратили) рекомендовать их, и теперь с ними сложно обновлять SSL-сертификаты. Некоторое время они платили нам 50 долларов США за обновление, чтобы покрыть свое время (экспорт CSR, установка CER). Они часто перемещают сайты на новые серверы и говорят, что SSL не может переноситься с ним (и иногда пытаются продать свои собственные SSL). Невозможно объяснить нашим клиентам, почему мы не можем просто отправить сертификат для использования на новом сервере (у нас есть только CSR и CER).
Поэтому вместо этого я хочу заказать эти SSL-сертификаты от начала до конца на одном из наших внутренних серверов IIS, затем экспортировать PFX и отправить его в Компанию X. Если они его потеряют, у нас будет копия с нашей стороны, и будет меньше шагов для пойти не так
Я не могу найти никого, кто делает это. Это плохая идея или просто отчаянная? Есть ли техническое ограничение, которое я пропускаю (например, от IIS6 до IIS7)? Если ваш поставщик SSL сделал это, вы бы откладывали? Я не могу решить, является ли это плохой идеей или очевидной.
Спасибо СФ!
2 ответа
Я не могу найти никого, кто делает это. Это плохая идея или просто отчаянная?
Я не думаю, что это плохая идея, если у вас есть системы для защиты ключей, которые вы храните от взлома. Я делал это пару раз для своих клиентов, когда знал, что мой клиент не сможет создать ключ, и я не доверял веб-хостингу, чтобы он не потерял ключ.
Я не думаю, что буду хранить чужие ключи в общедоступном ящике IIS. Я бы посоветовал вам создать ключи для ваших клиентов на машине, которая находится за хорошим брандмауэром и очень безопасна.
Если ваш поставщик SSL сделал это, вы бы откладывали?
Я был бы немного расстроен этим, но я знаю, как создавать свои собственные сертификаты, и я не даю свои ключи + сертификаты какой-либо службе хостинга.
Я думаю, что было бы хорошо, если:
- Вы сообщаете своим клиентам, что будете хранить копию ключа и сертификат для них.
- Вы делаете все возможное, чтобы убедиться, что они понимают потенциальный риск
- Вы предлагаете альтернативы о том, как они могли бы сгенерировать, они сами вводят ключ или находят продавца, который переоформит ключ в случае потери.
- Вы предпринимаете шаги, чтобы удостовериться, что эти ключи очень хорошо защищены от взлома.
Они уже доверяют "Компании Х" свои ключи + сертификат и свой сервер, поэтому им, возможно, не понадобится установка с действительно высоким уровнем безопасности.
Зная, насколько чувствителен закрытый ключ, я бы немного удивился, узнав, что мой провайдер SSL сделал это. Но до тех пор, пока заботятся о защите закрытого ключа во время его передачи на хост и резервного копирования, нет технической причины, по которой вы не можете сделать это безопасно.