HTTP सार्वजनिक कुंजी लगाए (HPKP) से जुड़े प्रश्न

Question

1. प्रश्न:
HTTP सार्वजनिक कुंजी लगाए (HPKP)वास्तव में सुरक्षा में सुधार करता है?
एक एमआईटीएम (उदा। एनएसए) सर्वर के पहले अनुरोध को रोक सकता है और द्वारा हस्ताक्षरित "फ़ेक्ड" प्रमाण पत्र के साथ प्रतिक्रिया दे सकता है, CA समझौता किया गया है।
तो एचपीकेपी केवल सुरक्षा में सुधार करता है यदि किसी सर्वर के प्रारंभिक कनेक्शन को छेड़छाड़ नहीं किया गया है, और यदि आप 100% सुनिश्चित हैं, तो आपने प्रारंभ में सही सर्वर से कनेक्ट किया है।
सही?

2. प्रश्न:
Public-Key-Pins हैडर एक कम से कम दो दो अलग-अलग प्रमाण पत्र की हैश, एक "बैकअप" प्रमाण पत्र के रूप में सेवारत शामिल करने के लिए की जरूरत है।
क्या इसका मतलब है कि मुझे दो अलग-अलग सीए से दो अलग-अलग प्रमाण पत्र खरीदना है?
यह महंगा होगा। क्या सीए आपको एक ही डोमेन के लिए दो प्रमाणपत्रों पर हस्ताक्षर करने की पेशकश नहीं करता है यदि आप एक खरीदते हैं?
सुरक्षा मूल्य पर नहीं आनी चाहिए, हर कोईसुरक्षित सेवा बनाने में सक्षम होना चाहिए।

Answer 1

1. हाँ

2. HPKP प्रमाण पत्र से संबंधित न होकर जाता है। नाम की तरह आपको बताता है कि यह सार्वजनिक कुंजी के बारे में है।

प्रमाण पत्र प्राप्त करने के लिए आप अपनी निजी कुंजी का उपयोग करके एक प्रमाणपत्र अनुरोध तैयार करेंगे। आपकी सार्वजनिक कुंजी सीए से प्राप्त प्रमाणपत्र के भीतर संग्रहीत की जाती है। तब उस सार्वजनिक कुंजी की तुलना उस ब्राउज़र के साथ की जाती है जिसे ब्राउनिंग हेडर में पिछले अनुरोध से मिलता है।

आपकी प्रतिक्रिया के साथ आप उस निजी कुंजी की सार्वजनिक कुंजी और निजी बैकअप कुंजी की एक अन्य सार्वजनिक कुंजी वितरित करेंगे।

Answer 2

दूसरे प्रश्न के बारे में एक टिप्पणी।

दरअसल हां आपको क्लाइंट ब्राउज़र में प्रमाण फिंगरप्रिंट पिन करने के लिए कम से कम 2 प्रमाणपत्र खरीदना होगा। बैकअप प्रमाणपत्र उत्पादन कंप्यूटर पर संग्रहीत नहीं किया जाना चाहिए। आपको केवल अपने फिंगरप्रिंट की आवश्यकता होगी।

फ़िंगरप्रिंट प्रमाणपत्रों पर गणना की जाती है। फिर एक सीए में एक फिंगरप्रिंट भी होता है।

openssl x509 -noout -in /etc/ssl/certs/DigiCert_Global_Root_CA.pem -fingerprint -sha256