Может ли быть выдан сертификат без CSR и с использованием старого закрытого ключа - PullRequest
2 голосов
/ 18 февраля 2012

Я не совсем понимаю, что происходит в процессе обновления SSL с использованием WHM / cPanel для существующего сертификата расширенной проверки Comodo.

Comodo выдал нам заменный сертификат без - я полагаю - каждого, кто отправил CSRдля них.Я говорю «я верю», потому что есть 3 человека, которые имеют доступ к WHM для этого сервера, но я уверен, что никто не играл в последний год.

Возможно ли это звучит?МОЖЕТ ли сертификат быть поставлен без CSR, если это замена?Я попытаюсь заполучить Comodo, но на выходных я увижу, что старый сертификат заканчивается через день, когда я решил обратиться к stackHiveMind:)

Дополнительная информация: в качестве теста япопытался установить новый сертификат и «извлечь» существующий закрытый ключ, но когда я пытаюсь подтвердить, что получаю следующую ошибку: Установка SSL прервана из-за ошибки: Несоответствие модуля, файл ключа не соответствует сертификату.Пожалуйста, используйте правильный файл ключа

1 Ответ

5 голосов
/ 18 февраля 2012

В некоторых случаях да, вы можете.Предполагая, что у вас есть закрытый ключ RSA в формате PEM, это извлечет открытый ключ (он не будет генерировать сертификат):

openssl rsa -in key.pem -pubout -out pubkey.pem

Это создаст новый CSR с открытым ключом, полученным изфайл закрытого ключа.

openssl req -new -key key.pem -out host.csr

Обратите внимание, что, строго говоря, ЦС не нужно чтобы вы отправляли CSR для выдачи сертификата.Все, что ему нужно, это открытый ключ (к которому он будет иметь доступ через ваш существующий сертификат).Он может потенциально присоединить любой субъектный DN и атрибут и выдать его в качестве сертификата без необходимости с вами связываться.Конечно, такая практика может быть несовместима с их политикой, но технически это возможно.CSR - это просто удобный формат для отправки открытого ключа для запроса сертификата и предоставления имени и атрибутов, которые вы хотите (которые вы все подписываете вместе).

Установка SSL прервана из-заошибка: несоответствие модуля, файл ключа не соответствует сертификату.Пожалуйста, используйте правильный файл ключа

Если вы правильно выполнили операции с сертификатом, это может означать, что новый выданный вами сертификат был выдан для другой пары ключей, чем ваша.Это может указывать на нечестную игру, потому что кто-то еще мог выдать CSR со своей собственной парой ключей и получить этот сертификат (что может быть весьма тревожным, поскольку вы говорите и о сертификате EV, который должен иметьдополнительные меры защиты от этого.)

Я бы посоветовал уточнить у ваших коллег, запросили ли вы новый сертификат, или связаться с вашим центром сертификации, чтобы выяснить, почему вы получили новый сертификат.Обновление сертификата с использованием предыдущего открытого ключа может быть частью их существующего пакета.Если он использует один и тот же открытый ключ, это не проблема, хотя при замене сертификата рекомендуется изменить материал ключа, т. Е. Отправить CSR, исходящий из новой пары ключей.

...