Сертификаты для встроенных систем с поддержкой SSL

Question

У меня есть встроенная система, которую я ожидаю использовать в течение следующих 15 лет или около того, и она имеет консоль администрирования на основе https. Из того, что я понимаю:

• Если у меня есть самозаверяющий сертификат, веб-браузеры будут жаловаться.
• Если у меня есть сертификат, подписанный CA, срок его действия истекает довольно скоро, и веб-браузеры будут жаловаться.

Есть ли какой-нибудь способ иметь сертификат с длительным сроком службы, чтобы браузеры не жаловались, или необходимо выпускать новую прошивку каждый раз, когда срок действия сертификата истекает в течение срока службы продукта? Или предоставить пользователям возможность загрузить новый сертификат?

Answer 1

Это может быть одним из редких случаев, когда самозаверяющий сертификат является правильным подходом.Сколько людей нужно будет администрировать ящик?Я думаю, что немногие, и часть развертывания коробки будет иметь установленный сертификат в хранилище доверенных сертификатов браузера администратора.

Answer 2

Geotrust выдает сертификаты на срок до 6 лет.

Я бы, вероятно, в любом случае построил бы механизм обновления прошивки на случай, если ваш издатель (или кто-то другой) будет скомпрометирован и добавлен в список отзыва сертификатов.

Ожидается ли подключение вашего устройства к Интернету? Построить процесс перевыпуска, чтобы он мог получать новый, проверенный сертификат каждые несколько лет через сеть, не должно быть слишком сложно.

Если ваша модель безопасности позволит вам использовать самоподписанный сертификат, задумывались ли вы, почему вы вообще шифруете связь? Ненадежный сертификат (и обучение пользователей игнорировать предупреждение) во многих случаях настолько же плох (или хуже), чем вообще не используется шифрование.

Кроме того, я действительно надеюсь, что вы не планируете развертывать один и тот же сертификат для каждого устройства, которое вы создаете. Если это так, и у вас есть процесс загрузки, который делает сертификат доступным для широкой публики посредством обновлений встроенного программного обеспечения, вы возвращаетесь к началу 1 из-за легко подделанных коммуникаций.