Frage:
Sollte ich eine CSR ablehnen, wenn der Host mir den privaten Schlüssel für die Anforderung eines SSL-Zertifikats per E-Mail gesendet hat?
scipilot
2017-04-12 17:16:53 UTC
view on stackexchange narkive permalink

Ich habe gerade eine CSR von meinem gemeinsam genutzten Webhosting-Anbieter angefordert, um ein Zertifikat zu generieren, das ich zur Installation an diese zurücksenden werde. (Das Zertifikat selbst muss ordnungsgemäß von einer Organisation erstellt werden, für die ich arbeite und die Zertifikate für unseren offiziellen Gebrauch bereitstellen kann.) Das Hosting-Unternehmen hat mir umgehend den CSR, aber auch den privaten Schlüssel gesendet! Sie haben sogar jemand anderen CC-fähig gemacht, und es ist in Google Mail, also hat Google es vermutlich bereits zu Werbezwecken aufgenommen.

Meiner bescheidenen Meinung nach scheint dies eine schreckliche Sache zu sein. Ich bin dabei, ihnen zurückzuschreiben, diesen abzulehnen und darum zu bitten, die CSR zu erneuern und diesmal den privaten Schlüssel privat zu halten.

Bevor ich mich lächerlich mache, möchte ich das bestätigen Der private Schlüssel für ein "SSL" -Zertifikat (TLS) sollte den Server niemals verlassen?

Ich arbeite seit vielen Jahren in sicherheitsrelevanten Branchen und war früher ein Krypto-Programmierer Ich kenne das Thema ein wenig - aber ich weiß, dass sich die Dinge im Laufe der Zeit ändern.

Ich habe diese verwandte Frage gelesen: Welche Probleme ergeben sich aus der Freigabe des privaten Schlüssels eines SSL-Zertifikats?

Meta-Update: Ich habe festgestellt, dass ich ein Fragenformat von schlechter Qualität für Stack Exchange geschrieben habe, da es jetzt schwierig ist, eine bestimmte Antwort zu akzeptieren. Entschuldigung dafür - alle Antworten deckten unterschiedliche und gleichermaßen interessante Aspekte ab. Ich habe mich anfangs gefragt, wie ich es zu diesem Zweck formulieren soll, aber ein Leerzeichen gezogen.

Update: Ich habe dies jedoch mit dem Gastgeber verfolgt und sie haben sich "für etwaige Unannehmlichkeiten entschuldigt", versprochen zu behalten zukünftige private Schlüssel "sicher" und gab mir eine neue, andere CSR. Ob es aus demselben exponierten privaten Schlüssel generiert wird, ist mir derzeit nicht sicher. Da es sich um einen gemeinsam genutzten Host handelt, frage ich mich jetzt auch, ob sie mir den Schlüssel für den gesamten Server gesendet haben oder ob jeder Kunde / jede Domäne / jeder virtuelle Host ein Schlüsselpaar erhält.

Es ist eine interessante Lektion, wie alles Die Kryptostärke in der Welt kann durch einen einfachen menschlichen Fehler aufgehoben werden. Kevin Mitnik würde nicken.

Update 2: Als Antwort auf eine Antwort von Benutzer @Beau habe ich die folgenden Befehle verwendet, um zu überprüfen, ob die zweite CSR aus einem anderen geheimen privaten Schlüssel generiert wurde.

  openssl rsa -noout -modulus -in pk1. txt | openssl md5openssl req -noout -modulus -in csr1.txt | openssl md5openssl req -noout -modulus -in csr2.txt | openssl md5  

Die ersten beiden Hashes sind identisch, der dritte ist unterschiedlich. Das sind also gute Nachrichten.

_ "und es ist in Google Mail, also hat Google es vermutlich bereits zu Werbezwecken aufgenommen." _ Sie wissen, dass Google eine eigene Zertifizierungsstelle betreibt und grundsätzlich jedes beliebige Zertifizierungsstellenzertifikat in Chrome einfügen kann?In diesem Szenario ist Google wahrscheinlich eine der am wenigsten interessierten / interessanten Parteien.
Ja, ich mache mir keine Sorgen um Google an sich (ich habe ihnen mein Leben anvertraut!), Sondern ich möchte nur die zusätzlichen Reisen hervorheben, die unsere persönlichen Inhalte heutzutage zurücklegen, selbst nach der offensichtlichen Ankunft am Zielort.
Ist der private Schlüssel verschlüsselt?
@DavidSchwartz Nein, es schien nicht so.
Ich entschuldige mich dafür, dass ich dies nicht als Kommentar gepostet habe - ich habe nicht genug Repräsentanten.Sie können Ihre neue CSR jedoch mit ein paar openssl-Befehlen mit dem ursprünglichen privaten Schlüssel vergleichen: https://www.sslshopper.com/certificate-key-matcher.html.Wenn der Modul für jeden unterschiedlich ist, sollten Sie in Ordnung sein.Ich bin mir jedoch nicht sicher, ob ich den Sicherheitspraktiken des Anbieters vertrauen würde.Bei Sicherheit geht es schließlich nur um Vertrauen.
Das ist sehr nützlich, Beau - ich habe diese Befehle verwendet, um zu beweisen, dass das von ihnen bereitgestellte neue CRS mit einem anderen privaten Schlüssel generiert wurde - was eine gute Nachricht ist, da ich es auch nicht ablehnen muss.
Entschuldige dich nicht, ich denke, es ist meine Schuld, eine Meinungsfrage zu schreiben - diese Frage wird zu einem wertvollen Wiki-Artikel :)
Übrigens ist es ziemlich (un) lustig, dass die Seite sslshopper.com ein Feld "Privaten Schlüssel hochladen" enthält!Und eine große Warnung, es nicht zu benutzen.
Zu diesem Zeitpunkt könnte es sinnvoller sein, zu einem Unternehmen zu wechseln, das die Natur eines * privaten * Schlüssels * tatsächlich versteht *, IMHO.Ein Zertifikatsaussteller, der gerne private Schlüssel per E-Mail an mehrere Empfänger sendet, scheint * nicht * zu wissen, was er tut, und hat sich als nicht so kompetent erwiesen.Ist die Verwendung von [certbot] (https://certbot.eff.org/) ein Problem?Das benutze ich für meinen Server.
@BaileyS Google das Unternehmen könnte nicht interessiert sein, aber Dave der Google-Mitarbeiter mit Zugriff auf den E-Mail-Server könnte sein.Es gab Fälle, in denen Google-Mitarbeiter zuvor ihren Zugriff auf die Google Mail-Konten von Personen missbraucht haben
@Pharap Der Wert der privaten Informationen einer Person wird stark überbewertet.Wirklich, niemand kümmert sich um die Geheimnisse, die Ihnen so am Herzen liegen, Facebook-Schwärme, Chat-Protokolle und wahrscheinliche Nudies, die in Ihrem WhatsApp-Backup gespeichert sind.Es ist schwer zuzugeben, dass wir einfach nicht so interessant sind, und die meisten von uns sind einfach nur langweilig.Der wahre Wert liegt in riesigen Mengen aggregierter Daten, bei denen sich Ihre Individualität im Vergleich zum Datensatz in Nichts auflöst.Sofern Sie nicht Putins heiße Teenie-Freundin oder ein F500-CEO sind, sind unsere individuellen privaten Daten einfach keine Mühe wert.
@hlecuanda Nun.[dieser Typ] (http://gawker.com/5637234/gcreep-google-engineer-stalked-teens-spied-on-chats) war es sicherlich.Ich bin froh zu hören, dass meine Google Mail-basierte Kommunikation mit meinen Pentagon-Hacking-Freunden sicher ist.Ich werde Betty auf jeden Fall sagen, dass sie vorsichtig sein soll. Vielleicht hat jemand bemerkt, mit welchem Staatsoberhaupt sie die Verbindung zum Hotelzimmer arrangiert hat.
Sechs antworten:
dr_
2017-04-12 17:52:09 UTC
view on stackexchange narkive permalink

Ja, Sie sollten die CSR unbedingt ablehnen. Außerdem sollten Sie Ihren Hosting-Anbieter wechseln, da er anscheinend nicht weiß, was er tut.

Es ist bereits schlimm genug, dass er Ihnen den privaten Schlüssel per E-Mail, dh über ein unsicheres Medium, gesendet hat . Sie haben es jedoch auch an eine andere Person weitergegeben, was einen vollständigen Verstoß gegen die Vertraulichkeit darstellt.

Außerdem frage ich mich, warum sie Ihnen den privaten Schlüssel gesendet haben - er soll auf dem Server installiert sein, was sie selbst tun können.

Sie haben den anderen Kontakt auf dem Konto (nicht technisch).Und ja, ich habe mich auch gefragt, warum das wirklich meine Frage war.Es gibt immer noch keinen Grund - nur um sicherzugehen, dass ich hier kein Memo verpasst habe.
Ok, es ist also nicht so, als hätten sie den privaten Schlüssel an jemanden gesendet, der Ihnen unbekannt ist.Dennoch gilt der Hauptpunkt.
@dr01 Sicher haben sie.Alle Mail-Server-Administratoren, Router-Administratoren und Firewall-Administratoren, die sich auf dem Weg der Mail befanden und diese lesen wollten.
@DRF Ich meinte * freiwillig *, den privaten Schlüssel an Dritte weiterzugeben.
Ich frage mich, ob der private Schlüssel für den gesamten gemeinsam genutzten Server verwendet wird. In diesem Fall können Sie sich nicht nur als Ihre Domain, sondern auch als alle anderen Benutzer ausgeben, die denselben Server verwenden.
@dr01 Ich denke, wenn Sie Informationen per E-Mail senden, geben Sie sie freiwillig an jeden Computer weiter, von dem sie abprallen, bis sie ihr Ziel erreichen.
+1 für die Aufforderung an OP, den Anbieter zu wechseln, der auf seinem Gebiet seine Unwissenheit unter Beweis gestellt hat.
@AaronHall Es ist nur freiwillig, wenn Sie wissen, wie E-Mail funktioniert, sonst ist es glückselige Ignoranz.Ich denke, wir haben festgestellt, dass der Hosting-Anbieter von Inkompetenten betrieben wird.
vakus
2017-04-12 17:40:50 UTC
view on stackexchange narkive permalink

Wenn ich an Ihrer Stelle wäre, würde ich die Annahme dieses SSL-Zertifikats ablehnen. Der Grund dafür ist, dass jemand, der in eine der E-Mails eingebrochen ist, die den privaten Schlüssel erhalten haben, diese herunterladen und sich dann als solche ausgeben kann Server in verschiedenen Angriffen auf Clients, wie Mann in der Mitte oder ähnlich. Auch für den Fall, dass eine der empfangenden E-Mail-Adressen falsch geschrieben wurde, hat möglicherweise bereits jemand den privaten Schlüssel. Es gibt wahrscheinlich auch viele weitere Szenarien, in denen dieser private Schlüssel von einem Angreifer heruntergeladen und verwendet werden könnte.

Es sollte wichtig sein, das Unternehmen darüber zu informieren, dass der private Schlüssel nicht freigegeben wird, um sicherzustellen, dass das Unternehmen dies nicht tut hat den privaten Schlüssel an eine andere Stelle gesendet - der private Schlüssel wurde an Sie und einige andere CCs in dieser E-Mail gesendet, aber Sie können nicht wissen, ob das Unternehmen keine separate E-Mail mit dem privaten Schlüssel an eine andere Stelle gesendet hat.

Es gibt einen Grund, warum der private Schlüssel als privater Schlüssel bezeichnet wird.

Bitte beachten Sie, dass dies hauptsächlich meine persönliche Meinung ist und ich kein Experte für SSL bin.

Ja, ein guter Punkt, um sie zu erziehen.
Wäre es zu diesem Zeitpunkt nicht sinnvoller, zu einem Unternehmen zu wechseln, das die Natur eines privaten Schlüssels tatsächlich versteht?Ein Zertifikatsaussteller, der gerne private Schlüssel per E-Mail an mehrere Empfänger sendet, scheint * nicht * zu wissen, was er tut, und hat sich meiner Meinung nach als nicht so kompetent erwiesen, IMHO.
@ray gut, wenn Sie das Unternehmen wechseln, dann sind Sie sicherer, aber wenn Sie sie stattdessen schulen, sind alle ihre Kunden sicher.Wenn es nicht hilft, sie zu erziehen, dann wäre es zwar sinnvoll, die Firma zu wechseln, aber an diesem Punkt scheint es offensichtlich
@vakus Wenn Sie in die Ausbildung von jemandem investieren möchten, der es bereits besser wissen sollte, liegt es an Ihnen.Denken Sie daran, dass die für Sie sichtbare schlechte Sicherheitspraxis außerhalb des Unternehmens auf tiefere Probleme hinweist, die Sie möglicherweise nie entdecken werden (z. B. woher wissen Sie, dass sie diesen Schlüssel nicht für andere Adressen verwendet haben oder schlimmer noch?) Und daher nicht in der Lage sindum sie zu erziehen.Sie müssen entscheiden, in welches Risiko Sie * Ihre * Kunden einbringen möchten, um sie "aufzuklären".Ihre Ausbildung bedeutet nicht, dass Sie als Kunde bleiben müssen.Das Verlassen könnte ihnen mehr Anreiz geben, sich selbst zu reparieren
Lie Ryan
2017-04-12 20:25:21 UTC
view on stackexchange narkive permalink

Ja, Sie sollten die CSR auf jeden Fall ablehnen.

Es hängt davon ab, ob Sie den Hosting-Anbieter überdenken sollten.

Sie haben sogar jemand anderen CC-fähig gemacht.

Gibt es Gründe, warum das Hosting-Unternehmen Ihre interne Unternehmensstruktur kennen sollte? Ist die Person, die dies tut, ein ausgewiesener Account Manager, der speziell Ihrem Unternehmen zugewiesen wurde und dafür verantwortlich ist, zu wissen, wer wer in Ihrem Unternehmen ist? Hat Ihr Unternehmen den Kundenbetreuer ausreichend darüber informiert, wie Ihr Unternehmen strukturiert ist und wer zu was berechtigt ist? Wenn nicht, kann es teilweise Ihre (Unternehmens-) Schuld sein, ihnen nicht klar zu machen, wie sie den Schlüssel an Sie senden sollen.

In den meisten Hosting-Konten, wenn Sie kein bestimmtes Konto haben Manager, der mit Ihrer Branche vertraut ist, sollten dem technischen Support sehr deutlich gemacht haben, wie die Schlüssel an Sie gesendet werden sollen, wer sie erhalten soll und ob Sie den Schlüssel überhaupt erhalten möchten oder nicht. Gehen Sie nicht davon aus, dass ein technischer Supportmitarbeiter die Situation Ihres Unternehmens kennt, und gehen Sie niemals davon aus, dass ein technischer Supportmitarbeiter, der nicht Ihr designierter Account Manager ist, sich daran erinnert, wer Sie aus einer früheren Interaktion stammen.

und es ist in Google Mail

Sie wissen, dass das Senden einer CSR per E-Mail auch nicht sehr sicher ist, oder? Es ist durchaus möglich, dass jemand (ein Insider, der in Google Mail oder einem APT arbeitet) die E-Mail mit der CSR abfängt, die CSR, die der Host Ihnen sendet, durch seine eigene CSR ersetzt und die CSR des Hosting-Unternehmens beim Hosting-Unternehmen selbst unterzeichnet. Dies würde es ihnen ermöglichen, die gefälschten Zertifikate für MITM später zwischen Ihnen und Ihren Benutzern und dem Hosting-Unternehmen zu verwenden.

Eine CSR muss über einen authentifizierten Kanal bereitgestellt werden (z. B. senden sie das Zertifikat an eine von Ihnen kontrollierte HTTPS-Site oder sie sollten die CSR mit einem GPG-Schlüssel signieren, den sie auf ihrer Site veröffentlichen), oder Sie sollten zumindest einen Fingerabdruck erstellen Die Überprüfung und sowohl Sie als auch Ihr Gastgeber müssen eine Möglichkeit haben, die andere Partei zu identifizieren und zu authentifizieren. Das Einrichten eines authentifizierten Kanals kann ein ziemlich komplizierter Prozess sein und wird nicht bei kostengünstigeren Hosting-Anbietern oder solchen angeboten, die sich nicht auf Business-Hosting mit hoher Sicherheit spezialisiert haben.

Wenn Sie dies nicht tun Geben Sie nicht an, wie Ihr Unternehmen die Bereitstellung der CSR verlangt. Insbesondere wenn Sie nicht von einem Kundenbetreuer verwaltet werden, der wissen sollte, welche Art von Geschäft Sie betreiben, gehen die meisten Hosting-Unternehmen davon aus, dass Sie ein Unternehmen mit minimaler Sicherheit sind. Die meisten Leute, die in einem Unternehmen mit minimaler Sicherheit arbeiten, würden eine Kopie des privaten Schlüssels als höherwertig betrachten als die Sicherheit, den Schlüssel nicht zu kontrollieren. Es ist nicht unangemessen, dass sie dies von Ihnen annehmen.

"Es ist durchaus möglich, dass jemand ... die E-Mail mit der CSR abfängt" - Haben Sie einen Link oder etwas mit mehr Details dazu?Ich versuche zu verfolgen, wie das funktionieren würde.
@Zoredache Es ist super einfach.Sie arbeiten bei Google.Sie führen ein Skript aus, um in der Google Mail-Datenbank nach nicht zugestellten E-Mails zu suchen, die in den letzten 5 Minuten an Benutzer gesendet wurden und scheinbar Nutzdaten für private Schlüssel enthalten.Sie verschieben diese E-Mail vorübergehend in einen Staging-Bereich, damit sie nicht zugestellt wird, und erstellen dann die alternative Nutzlast.Anschließend platzieren Sie die geänderte E-Mail mit Ihren böswilligen Nutzdaten wieder in der Datenbank, wo der Benutzer sie als eine weitere, erwartete, gute E-Mail ansieht.
HTTPS hilft nichts, es sei denn, es verfügt über eine Clientauthentifizierung. Zu diesem Zeitpunkt können Sie jedoch auch einfach die CSR mit dem Clientzertifikat signieren und haben weniger Arbeit.Die einzige sichere Möglichkeit, einen CSR bereitzustellen, ist die Verwendung der Out-of-Band-Authentifizierung.Je nachdem, wie sicher dies sein soll, kann es so einfach sein wie ein Anruf und das Lesen des Fingerabdrucks oder so ärgerlich, als müsste man persönlich auftauchen.
@ErikE Sicher, wenn der private Schlüssel gesendet wird, liegt ein Problem vor, aber die Antwort von LieRyan besagt, dass ein CSR allein in einer E-Mail missbraucht werden kann.Ich verfolge nicht, wie Sie MITM nur mit einer CSR verwenden können.Sofern Sie nicht glauben, dass der Angreifer die CSR abfangen kann und auch für MITM den gesamten Zugriff auf den Server eingerichtet ist, für den das Zertifikat tatsächlich ausgestellt wird.
@Zoredache Die Übertragung eines CSR (natürlich ohne privaten Schlüssel) an sich birgt kein Sicherheitsrisiko.Der Anforderer hat ein privat-öffentliches Schlüsselpaar generiert, das er an eine zu schützende Entität binden möchte (z. B. Verwendung mit einer https-Site für www.example.com), und bittet einen vertrauenswürdigen Unterzeichner, dies zu unterschreiben und damit zu bestätigenDiese Verbindung zwischen öffentlichem Schlüssel und gebundener Entität besteht.Was auf sichere Art und Weise außerhalb des Bandes erfolgen muss, ist vielmehr der Überprüfungsprozess, dass die CSR von jemandem ausgestellt wurde, der die vertrauenswürdige Kontrolle über die zu schützende Einheit hat.
Ja, mir ist klar, dass normale E-Mails selbst auch inakzeptabel unsicher sind. Es scheint nur, dass E-Mails heutzutage von Einzelpersonen weniger geschätzt werden und die Akzeptanz des Zugriffs durch Dritte normaler ist.Früher waren es nur Postmeister / Systemadministratoren, die während der Warteschlange Zugriff auf die E-Mail-Inhalte hatten, und zwar in einfachen traditionellen E-Mails.Jetzt ist es weitaus komplexer mit viel mehr Angriffsflächen und einer geringeren Anzahl von Mitarbeitern mit potenziellem Zugang (glaube ich).Mit Google Mail meinte ich auch Webmail, z.Ad Block Pro und alle anderen Browser-Plugins "lesen" wahrscheinlich meine E-Mails.
Es ist ein sehr guter und origineller Punkt, den ich ihnen nicht angegeben habe, wie sie ihn liefern sollen.Sie haben wahrscheinlich Recht, ich habe die Messlatte implizit niedrig gelegt.Aber ich habe sie nur nach dem CSR gefragt, von dem ich glaube, dass er gemeinsam genutzt werden kann, sodass dies meinen normalen Bekanntheitsgrad nicht erhöht hat, z.In der Vergangenheit habe ich darum gebeten, dass Hosts Anmeldeinformationen in einer Datei in der gehosteten Umgebung speichern, auf die ich zugreifen kann (über SCP).
Ich hätte erwähnen sollen, dass die CC-Person der "Kontoinhaber" ist und ich der "Technische Kontakt" bin, also scheinen sie sie immer zu kontaktieren.Ich habe diese Person nicht geschult, da ich kein Problem erwartet hatte.
@Zoredache: Ja, ich bezog mich auf jemanden, der auch ein MITM einrichten kann, z. B. einen Administrator eines beliebigen Systems im Datencenter / Upstream-Netzwerkpfad des Webhosts, oder auf jemanden, der ein [weit verbreitetes öffentliches DNS] (https: // Entwickler) ausführt.google.com/speed/public-dns/).Jemand, der Ihre E-Mails abfangen kann, könnte Ihre E-Mail zumindest so ändern, dass sie zwei CSRs enthält, die echte und eine gefälschte, und Ihnen eine plausible Titelgeschichte wie einen redundanten Load Balancer erzählen, bei dem ein separates Zertifikat installiert wird und der HSM dies nicht tutUnterstützung des Exports privater Schlüssel.
"Das Einrichten eines authentifizierten Kanals kann ein ziemlich komplizierter Prozess sein" - Zählen Sie keybase.io als authentifizierten Kanal?
Peter Green
2017-04-13 02:59:57 UTC
view on stackexchange narkive permalink

Bevor ich mich lächerlich mache, möchte ich bestätigen, dass der private Schlüssel für ein "SSL" -Zertifikat (TLS) den Server niemals verlassen darf?

Es kommt darauf an, dass es gute Gründe dafür geben kann, den Server zu verlassen. Beispielsweise möchten Sie möglicherweise dasselbe Zertifikat auf mehreren Servern verwenden oder einen Sicherungsschlüssel für das Anheften von Schlüsseln.

Aber absolut sollte nur als wertvolles Geheimnis behandelt werden Auf Maschinen gespeichert, denen Sie vertrauen, und wenn es zwischen Systemen wechseln muss, sollte dies in angemessener Weise geschehen.

Mein Rat wäre, sich sofort von diesen Clowns zu entfernen.

Guter Punkt, ich habe das in der Vergangenheit sogar selbst gemacht.Ich war angemessen nervös und benutzte SSH, um es direkt auf den zweiten Host zu übertragen.
trognanders
2017-04-13 03:33:08 UTC
view on stackexchange narkive permalink

Sie wollten wahrscheinlich, dass Sie das gesamte Schlüssel / Zertifikat-Paar haben, falls Sie es woanders verwenden möchten.

Das Herumschweben des privaten Schlüssels ist eine legitime Sicherheitsbedenken, insbesondere wenn Sie ihn nicht verwenden. Erklären Sie, dass dieses Zertifikat nur für den Hosting-Anbieter bestimmt ist, und bitten Sie ihn, die CSR erneut auszustellen und ohne privaten Schlüssel zu senden. Stellen Sie sicher, dass sich der CSR-Fingerabdruck ändert.

Es hört sich so an, als würden sie das Zertifikat so behandeln, dass ein grünes Schloss mehr als ein Sicherheitsgerät angezeigt wird, was wahrscheinlich ein Warnzeichen ist. Ziehen Sie ein anderes Hosting in Betracht, wenn dies möglich ist und / oder wenn Ihre Website sehr vertrauliche Informationen verarbeitet.

Marquis of Lorne
2017-04-13 05:47:10 UTC
view on stackexchange narkive permalink

Sie sind in Bezug auf die Sicherheit völlig inkompetent. Ein privater Schlüssel ist per Definition äh, privat. Es dient dazu, seinen Besitzer rechtlich zu identifizieren. Sie haben Fälschungen und Identitätswechsel ermöglicht.

Sie sollten ihnen die CSR senden, nachdem Sie sie selbst aus Ihr privates / öffentliches Schlüsselpaar, und sie sollten Ihnen das signierte Zertifikat und seine Authentifizierungskette senden. Sonst nichts.

Wenn sie Ihnen private Schlüssel und CSRs senden, ist ihr gesamtes Modell kaputt.

Wechseln Sie den Anbieter und erhalten Sie Ihr Geld zurück. At am wenigsten. Sie haben Ihre Sicherheit gefährdet, sodass eine Klage auf Verlust und Beschädigung liegen kann. Zumindest können Sie ihnen damit drohen, um den Geld-zurück-Prozess zu vereinfachen.

Ich bin mir ziemlich sicher, dass es seinen Besitzer nicht legal identifiziert, sondern nur technologisch.
Ich denke, Sie haben die Rolle des Anbieters hier falsch verstanden (es sei denn, ich habe sie): Sie stellen das Zertifikat nicht aus, sondern installieren es auf einem Server, auf den das OP nur eingeschränkten Zugriff hat.Das OP kann das Schlüsselpaar nicht generieren, da es keinen Zugriff zum Installieren des privaten Schlüssels in der Webserverkonfiguration hat.In diesem Fall müssten * sie * den privaten Schlüssel * an den Host * senden.Der Host, der das Schlüsselpaar generiert und die CSR sendet, scheint absolut der richtige Prozess zu sein, aber er hat den Punkt verfehlt, indem er den privaten Schlüssel geteilt hat.
@QPaysTaxes Eine digitale Signatur mit einem privaten Schlüssel ist rechtlich durchsetzbar, da sie einer persönlichen Signatur auf einem Vertrag oder Scheck entspricht.
@IMSoP Wenn mehr als eine Person den privaten Schlüssel hat, ist dieser nicht privat.Wenn die Rolle des Anbieters so ausgelegt ist, ist sie radikal unsicher.Das Versenden verletzt die PKI vollständig.
@EJP Huh, ich hatte keine Ahnung.Das ist ziemlich toll!Können Sie aus Neugier ein bestimmtes Gesetz / Urteil zitieren, das es so gemacht hat?Ist es global oder weit verbreitet oder US-spezifisch?
@QPaysTaxes Es ist der * Zweck * digitaler Signaturen, rechtmäßig zu sein.Es ist ein in den USA, Australien, Großbritannien, ... etabliertes Recht. Ich bin kein Anwalt und kann die von Ihnen gesuchten Referenzen nicht angeben.
@EJP Ja, das habe ich verstanden.Sie haben jedoch den Punkt in der ursprünglichen Frage übersehen, dass die einzige Person, die diesen bestimmten privaten Schlüssel besitzen sollte, der Webhost ist.Wir sind uns alle einig, dass sie durch die Freigabe etwas falsch gemacht haben, aber Ihr Vorschlag, dass das OP ein eigenes Schlüsselpaar generieren soll, macht keinen Sinn, da der private Schlüssel in der Serverkonfiguration landen muss, auf die nur das Hosting-Unternehmen Zugriff hat.


Diese Fragen und Antworten wurden automatisch aus der englischen Sprache übersetzt.Der ursprüngliche Inhalt ist auf stackexchange verfügbar. Wir danken ihm für die cc by-sa 3.0-Lizenz, unter der er vertrieben wird.
Loading...