Можно ли использовать сертификат с одинаковым CN в двух удаленных qmgrs?

Question

Можно ли использовать один и тот же сертификат для двух MQ Qmgrs, работающих на разных серверах? Я знаю, что если у вас есть qmgrs на одном сервере, вы можете использовать один и тот же сертификат, но когда у вас два сервера, CN (общее имя) сертификата - это имя хоста, поэтому оно будет другим для обоих, и я не уверен, что оба они могут использовать один и тот же сертификат.

Answer 1

Продукт IBM MQ проверяет только значение DN сертификата однорангового администратора очередей на соответствие SSLPEER, настроенному на канале. MQ, в отличие от браузеров (и другого программного обеспечения, такого как библиотеки LDAP), не выполняет нулевую проверку DN (или SAN) по имени хоста удаленного хоста.

Нет никаких технических причин, по которым тот же сертификат не может быть использован на два сервера, это очень распространено, когда у вас есть конфигурации HA и DR.

Я бы счел оптимальным иметь уникальные сертификаты для каждого администратора очередей, поскольку они используются для подтверждения личности.

Безопасность последствия использования одного и того же сертификата на двух отдельных администраторах очередей:

1. Вы должны каким-то образом скопировать закрытый ключ между двумя машинами.
2. Теперь есть два места, где злоумышленник может получить единый сертификат.
3. Вы не можете полагаться на функцию SSLPEER на клиенте, чтобы убедиться, что вы подключаетесь к одному конкретному c QM, но вы все равно можете убедиться, что вы подключились к QM, размещающему этот сертификат.
4. Вы не можете полагаться на функцию SSLPEER в подключающемся диспетчере очередей (например, канал SDR), чтобы гарантировать, что вы Вы подключаетесь к одному определенному c QM, но вы все равно можете убедиться, что вы подключились к QM, хостящему этот сертификат.

Answer 2

Нет, клиент должен отклонить соединение как ненадежное. Клиент подключается к определенному серверу, и CN в сертификате, который сервер отправляет обратно клиенту, должен совпадать с именем сервера. Вы можете использовать SAN (альтернативное имя субъекта), чтобы добавить больше полного доменного имени или подстановочного знака (*) в CN.

Если клиент подключается к MQserver1: 1414, сертификат сервера должен иметь MQserver1 в CN или в SAN сертификата