Прикрепление ключа публикации темы для HTTP

Question

Я внедряю функцию SPKI Pinning для своих мобильных приложений, и мне интересно, изменится ли Subject Publish Key, когда я обновлю его с другим CA? Я все еще использую тот же CSR для генерации сертификата. Люди говорят, что открытый ключ будет таким же, если мы будем использовать один и тот же файл запроса на подпись сертификата (CRS), но я не уверен, что CA также является фактором.

Answer 1

Краткий ответ: нет, это не должно измениться, если вы все сделали правильно.

Рекомендуется , чтобы при указании заголовка HTTP SPKI вы предоставили как минимум два отпечатка пальца субъектного ключа (SPKI) закрытых ключей в вашем элементе управления (один для производства и другое для резервного копирования). Теперь, как сообщается здесь , обычной практикой является указание отпечатка SPKI хорошо известного CA в случае потери личного ключа, но это делает HPKP недействительным, потому что, если CA скомпрометирован, вы в основном говорите «доверяйте CA выданные сертификаты». Вот почему рекомендуется предоставить SPKI отпечаток ваших собственных открытых ключей: один для общего использования, а другой в случае потери личного ключа. Таким образом, при условии, что вы указываете в заголовке HTTP SPKI своего собственного открытого ключа, всякий раз, когда вы генерируете новый сертификат с другим CA (либо с тем же CSR, либо с новым), ваш открытый ключ будет таким же, а SPKI все равно будет действительный.