Могу ли я использовать самозаверяющий сертификат X.509 на другом сервере HTTPS?

Question

Я создал свой сертификат SSL, используя Selssl7.exe на сервере server1, но использовал Cn в качестве сервера Server2 и разместил сертификат на сервере server2.Я начал получать ошибку сертификата при просмотре в linux firefox, говоря:

Этот сертификат недействителен, сертификат не является доверенным и самоподписан, сертификат действителен только для server1

Но когда я просматриваю URL-адрес из Windows IE, я просто получаю обычную ошибку о том, что она не является доверенной, и я могу легко добавить ее в исключения.

Можем ли мы использовать самозаверяющие сертификаты, созданные на сервере server1?другие серверы?

Answer 1

Вы можете и можете, но, тем не менее, тем самым подрываете каждый аспект аутентичности, делая это.

Самозаверяющий сертификат обычно является проблемой, поскольку другие пользователи не будут знать этот сертификат заранее.Так что их браузер покорно выдает предупреждение.Вот почему вы должны платить за сертификаты TLS, которые будут распознаны - они выдаются центрами сертификации, чьи сертификаты содержатся в хранилище доверенных сертификатов вашего браузера по умолчанию.CA должны были заплатить, чтобы «быть частью клуба», но в противном случае, любой может создавать сертификаты.Это просто вопрос распознавания по умолчанию.

Но вы открываете другую дыру, повторно используя сертификат, выданный для выделенного сервера на другом сервере.Отличительные имена субъектов сертификатов TLS должны соответствовать имени хоста сервера, на котором они развернуты.Это предписано спецификацией TLS, потому что это единственная эффективная мера для предотвращения атак «человек посередине» при использовании TLS.После того, как вы откроете TLS-соединение с сервером, ваш код проверит, соответствует ли имя хоста, к которому вы подключены, DN субъекта сертификата сервера, который был отправлен.Только если это так, вы можете быть уверены, что говорите с нужным сервером.

Итак, в заключение, если вы повторно используете сертификат сервера на другом хосте, то вы серьезно влияете на безопасность TLS.Конечно, это все еще возможно, но если вы наносите ущерб безопасности до такой степени, то вам, вероятно, лучше использовать простой HTTP.