Как я могу отправить обновление сертификата SSL в работающее приложение?

Question

У моей компании есть программное обеспечение, которое используется на месте и устанавливается как служба Windows. Теперь мы добавляем к нему WebAPI, используя ядро ​​.NET 2.1. Этот API должен быть защищен с помощью SSL, и если мы купим сертификат, он продлится не более двух лет. Есть ли способ автоматического обновления сертификата, используемого для HTTPS? Некоторые клиенты покупают программное обеспечение и не обновляют его так часто, как хотелось бы. Как мы можем отправить новый сертификат для них?

Обновление 07/03: Наше локальное решение работает на серверной базе данных в течение 6 лет (с двумя основными обновлениями в год). Сейчас мы интегрируем webapi в этот сервис. Здесь нет IIS, только самодостаточно вебапи. Наш сервис может использовать наш собственный сертификат SSL, но тогда нам нужно будет как-то заменить его по истечении срока действия.

Answer 1

Как отправить обновление сертификата SSL в работающее приложение?

Вам не нужно распространять сертификат сервера на клиентские устройства, если он подписан центром сертификации, которому они доверяют.

В идеале клиентские системы должны доверять центру сертификации (ЦС), который имеет очень большой срок действия (например, 20 лет). Затем этот CA выдает веб-серверам краткосрочные сертификаты (например, 6-12 месяцев). Клиенты будут доверять этим сертификатам, потому что они подписаны доверенным центром сертификации.

Вот как сегодня работает общедоступная сеть. CA - это компании с крупными страховыми полисами, такие как Verisign, и поставщики ОС или браузеров определяют, какие центры сертификации делают надрез и включаются в пакеты сертификатов, которыми они управляют с помощью своих собственных механизмов (например, автоматических обновлений).

Таким образом, можно просто купить сертификат HTTPS в общедоступном CA .

Вы также можете быть вашим собственным ЦС, но тогда вам необходимо управлять защитой высокочувствительных ключей корневого ЦС и распределением вашего сертификата ЦС на все клиентские устройства.