Tak, zdecydowanie należy odrzucić CSR. Dodatkowo powinieneś zmienić swojego dostawcę usług hostingowych, ponieważ wygląda na to, że nie wiedzą, co robią.

Już wystarczająco źle, że wysłali Ci klucz prywatny e-mailem, tj. Przez niezabezpieczone medium . Jednak przesłali go również komuś innemu, co stanowi całkowite naruszenie poufności.

Ponadto zastanawiam się, dlaczego wysłali Ci klucz prywatny - powinien on być zainstalowany na serwerze, co mogą zrobić samodzielnie.

Gdybym był na twoim miejscu, odmówiłbym akceptacji tego certyfikatu SSL. Powodem jest to, że gdyby ktoś włamał się do któregokolwiek z e-maili, które otrzymały klucz prywatny, byłby w stanie go pobrać, a następnie podszyć się pod serwer w różnych atakach na klientów, np. man in the middle lub tym podobne, również w przypadku, gdy jeden z otrzymujących adresów e-mail został wpisany niepoprawnie, ktoś może już mieć klucz prywatny. Prawdopodobnie istnieje również wiele innych scenariuszy, w których ten klucz prywatny może zostać pobrany i wykorzystany przez atakującego.

Ważne jest również powiadomienie firmy o nieudostępnianiu klucza prywatnego, aby upewnić się, że firma nie wysłał klucz prywatny gdziekolwiek indziej - klucz prywatny został wysłany do Ciebie i kilka innych CC w tym e-mailu, ale nie możesz wiedzieć, czy firma nie wysłała oddzielnego e-maila z kluczem prywatnym gdzie indziej.

Jest powód, dla którego klucz prywatny nazywany jest kluczem prywatnym

Pamiętaj, że jest to głównie moja osobista opinia i nie jestem ekspertem w zakresie SSL.

Tak, zdecydowanie powinieneś odrzucić CSR.

To zależy od tego, czy powinieneś ponownie rozważyć dostawcę usług hostingowych.

Skontaktowali się nawet z kimś innym,

Czy są jakieś powody, dla których firma hostingowa powinna znać wewnętrzną strukturę Twojej firmy? Czy osoba, która to robi, jest wyznaczonym opiekunem klienta, który został specjalnie przypisany do Twojej firmy i jest odpowiedzialny za ustalenie, kto jest kim w Twojej firmie? Czy Twoja firma dostarczyła opiekunowi konta wystarczające informacje na temat struktury Twojej firmy i kto jest do czego upoważniony? Jeśli nie, to częściowo może to być wina Twojej (firmy), która nie wyjaśniła im, w jaki sposób powinni wysłać Ci klucz.

W większości kont hostingowych, jeśli nie masz wyznaczonego konta menedżerowi, który jest zaznajomiony z Twoją branżą, powinieneś był bardzo wyraźnie powiedzieć jego pomocy technicznej, jak wysłać klucze do Ciebie, kto powinien je otrzymać i czy chcesz otrzymać klucz w pierwszej kolejności. Nie zakładaj, że personel pomocy technicznej zna sytuację Twojej firmy i nigdy nie zakładaj, że personel pomocy technicznej, który nie jest wyznaczonym menedżerem konta, zapamięta, kim jesteś z poprzedniej interakcji.

i jest w Gmailu

Zdajesz sobie sprawę, że wysłanie CSR przez e-mail również nie jest zbyt bezpieczne, prawda? Jest całkiem możliwe, że ktoś (insider pracujący w Gmailu lub APT) przechwyci wiadomość e-mail zawierającą CSR, zastąpi CSR, który host wysyła swoim własnym CSR, i sam podpisze CSR firmy hostingowej do firmy hostingowej. Pozwoliłoby im to później wykorzystać sfałszowane certyfikaty do MITM między Tobą a Twoimi użytkownikami i firmą hostingową.

CSR musi być dostarczony przez uwierzytelniony kanał (np. przesyła certyfikat do witryny HTTPS, którą kontrolujesz lub powinien podpisać CSR kluczem GPG, który publikuje na swojej stronie) lub przynajmniej powinieneś zrobić odcisk palca weryfikacja, a zarówno Ty, jak i Twój host musicie mieć sposób na zidentyfikowanie i uwierzytelnienie drugiej strony. Utworzenie uwierzytelnionego kanału może być dość skomplikowanym procesem i nie jest czymś, co będzie dostępne w tańszych dostawcach hostingu lub takich, które nie specjalizują się w hostingu biznesowym o wysokim poziomie bezpieczeństwa.

Jeśli tego nie zrobisz Nie określaj, w jaki sposób Twoja firma wymaga dostarczania CSR, a zwłaszcza jeśli nie obsługuje Cię menedżer konta, który powinien wiedzieć, jaki rodzaj działalności prowadzisz, wtedy większość firm hostingowych rozsądnie założyłaby, że jesteś firmą o minimalnym poziomie bezpieczeństwa. Większość osób pracujących w firmach zajmujących się minimalnymi zabezpieczeniami uznałaby, że posiadanie kopii klucza prywatnego ma wyższą wartość niż bezpieczeństwo wynikające z braku kontroli klucza, nie jest nierozsądne, aby zakładali to od Ciebie.

Zanim zrobię z siebie głupka, chciałbym potwierdzić, że klucz prywatny certyfikatu „SSL” (TLS) nigdy nie powinien opuszczać serwera?

To zależy, mogą istnieć dobre powody, aby opuścić serwer. Na przykład możesz chcieć użyć tego samego certyfikatu na serwerach serwerowych lub możesz potrzebować klucza zapasowego do przypinania klucza.

Ale absolutnie powinno być traktowane jako cenny sekret, tylko przechowywane na zaufanych komputerach i jeśli zachodzi potrzeba przemieszczania się między systemami, należy to zrobić w odpowiednio zabezpieczony sposób.

Radzę natychmiast odejść od tych klaunów.

Prawdopodobnie chcieli, abyś miał całą parę klucz / certyfikat na wypadek, gdybyś chciał jej użyć gdzie indziej.

Posiadanie klucza prywatnego w pobliżu jest uzasadnionym problemem bezpieczeństwa, szczególnie jeśli nie zamierzasz go używać. Wyjaśnij, że ten certyfikat jest przeznaczony tylko dla dostawcy usług hostingowych i poproś go o ponowne wydanie CSR i wysłanie go bez klucza prywatnego. Sprawdź, czy odcisk palca CSR się zmienia.

Wygląda na to, że traktują certyfikat jako sposób na wyświetlenie zielonej kłódki, a nie jako urządzenie zabezpieczające, co prawdopodobnie jest znakiem ostrzegawczym. Rozważ inny hosting, jeśli jest to możliwe i / lub jeśli Twoja witryna obsługuje bardzo poufne informacje.

Są całkowicie niekompetentni pod względem bezpieczeństwa. Klucz prywatny z definicji jest, err, prywatny. Służy do legalnej identyfikacji właściciela. Umożliwili fałszerstwo i podszywanie się.

Powinieneś wysłać im CSR, po wygenerowaniu go samodzielnie z twoja para kluczy prywatny / publiczny i oni powinni wysłać podpisany certyfikat i jego łańcuch uwierzytelniania. Nic więcej.

Jeśli wysyłają Ci klucze prywatne i CSR, cały ich model jest zepsuty.

Zmień dostawców i odzyskaj swoje pieniądze. Na najmniej. Narażają Twoje bezpieczeństwo, więc może zostać wniesione powództwo o utratę i odszkodowanie. Przynajmniej możesz im zagrozić, aby ułatwić proces zwrotu pieniędzy.